Um estranho no seu grupo do iMessage? A falha que a Apple acaba de corrigir

Quem usa conversas de grupo no iPhone, no iPad ou no Mac tem uma atualização de segurança à espera. O pacote iOS 27.2.1 e iPadOS 27.2.1 chegou a 9 de novembro de 2026 e, ao todo, são nove as vulnerabilidades eliminadas, repartidas por Bluetooth, AirPlay, Mensagens e outros componentes do sistema. Duas delas afetam diretamente a privacidade das conversas de grupo do iMessage, e uma terceira, na biblioteca de compressão Brotli, já constava do catálogo de vulnerabilidades exploradas da agência norte-americana CISA.

O que estava em causa no iMessage

Segundo o aviso de segurança da Apple, as duas falhas residem na aplicação Mensagens. Na mais grave, as conversas de grupo do iMessage ficavam expostas à entrada de um intruso remoto, que passaria a receber as mensagens aí trocadas. O identificador atribuído a este problema é o CVE-2026-113961.

A segunda falha, CVE-2026-113960, é de natureza diferente. O histórico publicado antes da adesão ficava ao alcance de quem fosse acrescentado a um grupo já existente. A eliminação do código vulnerável foi a solução escolhida pela empresa para este caso. O crédito de ambas as descobertas vai para investigação anónima.

A descrição pública é sucinta. Não detalha que condições o atacante teria de reunir nem se os restantes participantes veriam o intruso na lista de membros. Essa escassez de detalhe decorre da política habitual da empresa, que reserva a divulgação para depois de concluída a investigação e de existirem correções. O aviso consultado também não indica pontuações CVSS para as falhas próprias da Apple.

As nove falhas corrigidas

Além do iMessage, o grosso das correções incide sobre o emparelhamento sem fios. Quatro das falhas foram encontradas pelas equipas internas da Apple: as do AirPlay, do Bluetooth e do rapportd, mais uma das duas do CoreUtils.

Brotli: a falha que já estava no catálogo da CISA

A CVE-2026-111497 não é um problema exclusivo da Apple. Na origem está uma escrita fora dos limites de memória (CWE-787) no descodificador da biblioteca Brotli, da Google. Na análise da Tenable, a pontuação CVSS v4.0 é de 9,2. Desde 27 de outubro que a falha figura no catálogo de vulnerabilidades exploradas (KEV) da CISA, e as agências federais civis norte-americanas tinham até 10 de novembro para a corrigir.

O alerta do Centro Canadiano para a Cibersegurança sublinha a dimensão do problema. Node.js, Microsoft .NET, PowerShell, Envoy, Istio e pacotes Python contam-se entre as tecnologias que embutem o componente, o que obriga as organizações a rever tudo o que dependa dele. As versões 1.0.10, 1.1.1 e 1.2.1 da biblioteca já trazem a correção.

Importa não confundir os planos. A entrada no catálogo da CISA diz respeito à biblioteca Brotli em geral, não a ataques contra dispositivos Apple. Nenhuma indicação de exploração consta das notas da Apple para qualquer das falhas.

Versões e dispositivos: quem recebe o quê

Cronologia

Não foram publicados indicadores de comprometimento (IOCs) associados às falhas do iMessage ou do Bluetooth.

O que fazer agora

• Atualizar o iPhone e o iPad em Definições > Geral > Atualização de software e o Mac em Definições do Sistema > Geral > Atualização de software.
• Atualizar também o Apple Watch e o Vision Pro, já que as falhas de emparelhamento atravessam várias plataformas.
• Rever os participantes dos grupos do iMessage usados para assuntos sensíveis e sair dos que já não são necessários. O aviso, por si só, não prova que uma conversa concreta tenha sido comprometida.
• Nas organizações, verificar no MDM a conformidade das versões mínimas (27.2.1 ou 26.7.3) e dar prioridade a equipamentos de administração e direção.
• Inventariar outro software que embuta o Brotli (servidores Node.js, aplicações .NET, proxies) e aplicar as versões corrigidas.

Na informação consultada não constam medidas alternativas à instalação das atualizações.

Porque importa em Portugal

Em muitas PME e equipas de gestão portuguesas, os grupos de mensagens servem para trocar dados de clientes, propostas e documentos internos. Um participante não autorizado numa dessas conversas pode configurar uma violação de dados pessoais. Nos termos do RGPD, isso pode implicar notificação à CNPD.

Para as entidades abrangidas pelo Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a NIS2), a aplicação atempada de correções faz parte das medidas de gestão de risco exigidas. Os telemóveis de serviço entram nesse perímetro. O caso do Brotli lembra ainda que uma única biblioteca de código aberto pode estar presente em dezenas de produtos, o que exige um inventário de dependências atualizado. Os alertas do CNCS e do CERT.PT são o canal nacional a acompanhar.

Perguntas frequentes

Que versões corrigem as falhas do iMessage?

As correções estão no iOS e iPadOS 27.2.1, no iOS e iPadOS 26.7.3 e no macOS Golden Gate 27.2.1, todos de 9 de novembro de 2026.

Estas falhas foram usadas em ataques?

A Apple não refere exploração ativa de nenhuma das nove falhas nos seus dispositivos. A falha do Brotli consta do catálogo de vulnerabilidades exploradas da CISA, mas essa entrada refere-se à biblioteca em geral.

Tenho um iPhone XS ou XR. Estou protegido?

O iOS 18.7.12 traz correções de Bluetooth e AirPlay, mas as notas não listam as duas falhas do iMessage. A Apple não esclarece se o iOS 18 é afetado por elas. Deve instalar a atualização na mesma.

O que devem fazer as empresas?

Devem impor as versões corrigidas através do MDM, rever os grupos onde circula informação sensível e verificar se outro software interno usa versões vulneráveis do Brotli.

Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela Apple (aviso de segurança do iOS 27.2.1 e iPadOS 27.2.1), pela página de atualizações de segurança da Apple, pelo Centro Canadiano para a Cibersegurança e pela Tenable, bem como no catálogo de vulnerabilidades exploradas da CISA.