Apple corrige falha que burlava proteção do Safari

A Apple divulgou na terça-feira uma atualização de segurança para corrigir uma vulnerabilidade no WebKit. A falha afeta iPhones, iPads e computadores Mac, ao permitir que conteúdo malicioso na web burle uma proteção fundamental do sistema.

O WebKit é o motor que faz páginas da internet funcionar nos dispositivos Apple, sendo utilizado pelo Safari para renderizar sites. Outros aplicativos que exibem conteúdo web no iOS e no macOS também dependem dele. Por isso, a exposição ao problema é ampla.

Qual é a falha

A vulnerabilidade recebeu o código CVE-2026-20643. Ela existe na API de Navegação do WebKit, sendo classificada como uma falha de origem cruzada.

A política de mesma origem é uma regra de segurança essencial na web. Ela impede que um site acesse dados de outro site sem permissão. A falha encontrada permite contornar exatamente essa proteção ao processar um conteúdo web especialmente preparado para isso.

O pesquisador de segurança Thomas Espach foi o responsável por descobrir e reportar o problema à Apple.

Quais sistemas são afetados

A falha está presente no iOS 26.3.1, no iPadOS 26.3.1 e nas versões 26.3.1 e 26.3.2 do macOS. A correção foi entregue por meio de um novo tipo de atualização chamado Melhorias de Segurança em Segundo Plano.

Como funciona a nova forma de atualizar

As Melhorias de Segurança em Segundo Plano são pacotes leves e direcionados. Eles corrigem componentes específicos como o Safari, o WebKit e outras bibliotecas do sistema. Eles chegam de forma separada das grandes atualizações de software.

O recurso está disponível a partir do iOS 26.1, do iPadOS 26.1 e do macOS 26. Ele funciona de maneira parecida com o Rapid Security Response, lançado no iOS 16. Ambos existem para entregar correções pequenas com mais agilidade.

O que acontece se o usuário desativar o recurso

O usuário pode controlar essa configuração pelo menu Privacidade e Segurança no aplicativo Ajustes. Quem mantiver a instalação automática ativada recebe a correção sem precisar fazer nada. Quem desativar o recurso precisará aguardar a próxima atualização de software completa para receber a mesma proteção.

Se a melhoria for aplicada e depois removida, o dispositivo volta para o estado da última atualização principal. Nenhuma melhoria de segurança em segundo plano fica ativa nesse caso.

Em situações onde a atualização causar problemas de compatibilidade, a Apple pode removê-la temporariamente. Uma versão corrigida dela será entregue em um momento posterior.

O cenário recente de vulnerabilidades na Apple

Esta não é a primeira correção urgente da Apple no período recente. Pouco mais de um mês atrás, a empresa corrigiu um zero-day com pontuação 7,8 no sistema de classificação de gravidade.

A falha afetava iOS, iPadOS, macOS Tahoe, tvOS, watchOS e visionOS. Ela permitia a execução de código arbitrário no dispositivo e já estava sendo explorada ativamente.

Na semana passada, a Apple também expandiu correções para quatro vulnerabilidades antigas. Essas falhas foram utilizadas como parte de um kit de exploração chamado Coruna. 

Acompanhe o TecMundo nas redes sociais. Para mais notícias de segurança e tecnologia, inscreva-se em nossa newsletter e canal do YouTube.