Sobre o conteúdo de segurança do iOS 26.2 e iPadOS 26.2

Este documento descreve o conteúdo de segurança do iOS 26.2 e iPadOS 26.2.

Sobre as atualizações de segurança da Apple

Para garantir a proteção dos clientes, a Apple não divulga, não discute, nem confirma problemas de segurança até que seja conduzida investigação e as correções ou versões estejam disponíveis. As versões recentes estão indicadas na página de versões de segurança da Apple.

Os documentos de segurança da Apple mencionam vulnerabilidades por meio do ID de CVE quando possível.

Para mais informações sobre segurança, consulte a página Segurança do produto Apple.

iOS 26.2 e iPadOS 26.2

Lançado em 12 de dezembro de 2025

App Store

Disponível para: iPhone 11 e posterior, iPad Pro de 12,9 polegadas de 3ª geração e posterior, iPad Pro de 11 polegadas de 1ª geração e posterior, iPad Air de 3ª geração e posterior, iPad de 8ª geração e posterior e iPad mini de 5ª geração e posterior

Impacto: um app pode conseguir acessar tokens de pagamento confidenciais

Descrição: um problema em permissões foi resolvido por meio de restrições adicionais.

CVE-2025-46288: floeki, Zhongcheng Li da IES Red Team da ByteDance

AppleJPEG

Impacto: o processamento de um arquivo pode causar corrupção da memória

Descrição: o problema foi resolvido por meio de melhorias nas verificações de limites.

CVE-2025-43539: Michael Reeves (@IntegralPilot)

Calling Framework

Impacto: um invasor pode falsificar o ID de chamador do FaceTime

Descrição: um problema de interface de usuário inconsistente foi resolvido por meio de melhorias no gerenciamento de estados.

CVE-2025-46287: um pesquisador anônimo, Riley Walz

curl

Impacto: diversos problemas no curl

Descrição: vulnerabilidade em código aberto e software Apple entre os projetos afetados. O CVE-ID foi atribuído por terceiros. Saiba mais sobre o problema e o CVE-ID em cve.org.

CVE-2024-7264

CVE-2025-9086

FaceTime

Impacto: os campos de senha podem ser revelados sem querer ao controlar remotamente um dispositivo pelo FaceTime

Descrição: esse problema foi resolvido por meio de melhorias no gerenciamento de estados.

CVE-2025-43542: Yiğit Ocak

Foundation

Impacto: um app conseguir acessar arquivos de maneira inadequada por meio da API de verificação ortográfica

Descrição: um problema na lógica foi resolvido por meio de melhorias nas verificações.

CVE-2025-43518: Noah Gregory (wts.dev)

Foundation

Impacto: o processamento de dados maliciosos pode levar ao encerramento inesperado do app

Descrição: um problema de memória corrompida foi resolvido por meio de melhorias na verificação de limites.

CVE-2025-43532: Andrew Calvano e Lucas Pinheiro da Meta Product Security

Icons

Impacto: um app poderia identificar quais outros apps tinham sido instalados por um usuário

Descrição: um problema em permissões foi resolvido por meio de restrições adicionais.

CVE-2025-46279: Duy Trần (@khanhduytran0)

Kernel

Impacto: um app pode obter privilégios raiz

Descrição: um problema de estouro de inteiro foi resolvido por meio da adoção de marcação de data/hora de 64 bits.

CVE-2025-46285: Kaitao Xie e Xiaolong Bai do Alibaba Group

libarchive

Impacto: o processamento de um arquivo pode causar corrupção da memória

Descrição: vulnerabilidade em código aberto e software Apple entre os projetos afetados. O CVE-ID foi atribuído por terceiros. Saiba mais sobre o problema e o CVE-ID em cve.org.

CVE-2025-5918

MediaExperience

Impacto: um app pode conseguir acessar dados confidenciais do usuário

Descrição: um problema de registro foi resolvido por meio de melhorias na redação de dados.

CVE-2025-43475: Rosyna Keller do Totally Not Malicious Software

Messages

Impacto: um app pode conseguir acessar dados confidenciais do usuário

Descrição: um problema de divulgação de informações foi corrigido por meio da melhoria dos controles de privacidade.

CVE-2025-46276: Rosyna Keller do Totally Not Malicious Software

Multi-Touch

Impacto: um dispositivo HID malicioso pode causar uma falha inesperada no processo

Descrição: vários problemas de memória corrompida foram resolvidos por meio de melhorias na validação de entradas.

CVE-2025-43533: Google Threat Analysis Group

Photos

Impacto: as fotos no álbum de fotos ocultas podem ser visualizadas sem autenticação

Descrição: um problema de configuração foi resolvido por meio de restrições adicionais.

CVE-2025-43428: um pesquisador anônimo, Michael Schmutzer da Technische Hochschule Ingolstadt

Screen Time

Impacto: um app pode conseguir acessar o histórico do Safari de um usuário

Descrição: um problema de registro foi resolvido por meio de melhorias na redação de dados.

CVE-2025-46277: Kirin (@Pwnrin)

Screen Time

Impacto: um app pode conseguir acessar dados confidenciais do usuário

Descrição: um problema de registro foi resolvido por meio de melhorias na redação de dados.

CVE-2025-43538: Iván Savransky

Telephony

Impacto: um app pode conseguir acessar dados confidenciais do usuário

Descrição: esse problema foi resolvido por meio de verificações adicionais de direitos.

CVE-2025-46292: Rosyna Keller do Totally Not Malicious Software

WebKit

Impacto: processar conteúdo da web criado com códigos maliciosos pode causar uma falha inesperada no Safari

Descrição: um problema de confusão de tipos foi resolvido por meio de melhorias no gerenciamento de estados.

WebKit Bugzilla: 301257

CVE-2025-43541: Hossein Lotfi (@hosselot) da Zero Day Initiative da Trend Micro

WebKit

Impacto: processar conteúdo da web criado com códigos maliciosos pode causar uma falha inesperada no processo

Descrição: um problema do tipo "uso após a liberação" foi resolvido por meio de melhorias no gerenciamento da memória.

WebKit Bugzilla: 301726

CVE-2025-43536: Nan Wang (@eternalsakura13)

WebKit

Impacto: processar conteúdo da web criado com códigos maliciosos pode causar uma falha inesperada no processo

Descrição: o problema foi resolvido por meio de melhorias no processamento da memória.

WebKit Bugzilla: 300774

CVE-2025-43535: Google Big Sleep, Nan Wang (@eternalsakura13)

Entrada atualizada em 17 de dezembro de 2025

WebKit

Impacto: processar conteúdo da web criado com códigos maliciosos pode causar uma falha inesperada no processo

Descrição: um problema de estouro de buffer foi resolvido por meio de melhorias no processamento da memória.

WebKit Bugzilla: 301371

CVE-2025-43501: Hossein Lotfi (@hosselot) da Zero Day Initiative da Trend Micro

WebKit

Impacto: processar conteúdo da web criado com códigos maliciosos pode causar uma falha inesperada no processo

Descrição: uma condição de corrida foi resolvida por meio de melhorias no gerenciamento de estados.

WebKit Bugzilla: 301940

CVE-2025-43531: Phil Pizlo da Epic Games

WebKit

Impacto: processar conteúdo da web criado com códigos maliciosos pode causar a execução arbitrária de códigos. A Apple está ciente de um relatório de que esse problema pode ter sido explorado em um ataque extremamente sofisticado contra indivíduos específicos como alvo em versões do iOS anteriores ao iOS 26. O CVE-2025-14174 também foi emitido em resposta a este relatório.

Descrição: um problema do tipo "uso após a liberação" foi resolvido por meio de melhorias no gerenciamento da memória.

WebKit Bugzilla: 302502

CVE-2025-43529: Google Threat Analysis Group

WebKit

Impacto: o processamento de conteúdo da web criado com códigos mal-intencionados pode resultar na corrupção de memória. A Apple está ciente de um relatório de que esse problema pode ter sido explorado em um ataque extremamente sofisticado contra indivíduos específicos como alvo em versões do iOS anteriores ao iOS 26. O CVE-2025-43529 também foi emitido em resposta a este relatório.

Descrição: um problema de memória corrompida foi resolvido por meio de melhorias na validação.

WebKit Bugzilla: 303614

CVE-2025-14174: Apple e Google Threat Analysis Group

WebKit Web Inspector

Impacto: processar conteúdo da web criado com códigos maliciosos pode causar uma falha inesperada no processo

Descrição: um problema do tipo "uso após a liberação" foi resolvido por meio de melhorias no gerenciamento da memória.

WebKit Bugzilla: 300926

CVE-2025-43511: 이동하 (Lee Dong Ha da BoB 14th)

Outros reconhecimentos

AppleMobileFileIntegrity

Gostaríamos de agradecer a um pesquisador anônimo pela ajuda.

AppSandbox

Gostaríamos de agradecer a Mickey Jin (@patch1t) pela ajuda.

Core Services

Gostaríamos de agradecer à Golden Helm Securities pela ajuda.

Safari

Gostaríamos de agradecer a Mochammad Nosa Shandy Prastyo pela ajuda.

Siri

Gostaríamos de agradecer a Richard Hyunho Im (@richeeta) da Route Zero Security (routezero.security) pela ajuda.

WebKit

Gostaríamos de agradecer a Geva Nurgandi Syahputra (gevakun) pela ajuda.

As informações sobre produtos não fabricados pela Apple, ou sites independentes não controlados nem testados pela Apple, são fornecidas sem recomendação ou endosso. A Apple não assume responsabilidade alguma com relação à escolha, ao desempenho ou ao uso de sites ou produtos de terceiros. A Apple não garante a precisão nem a confiabilidade de sites de terceiros. Entre em contato com o fornecedor para obter mais informações.

Data da publicação: 23 de dezembro de 2025