A Apple publicou em 26 de outubro o iOS 27.2 e o iPadOS 27.2, com correção para 163 vulnerabilidades. Mais de 30 estão no WebKit, o motor que renderiza páginas no Safari e em todo aplicativo que exiba conteúdo web no iPhone, e várias delas permitem execução de código quando o usuário abre uma página preparada pelo atacante.
Entre as falhas de execução de código no WebKit estão quatro casos de uso após liberação de memória, entre eles a CVE-2026-112697 e a CVE-2026-112623, além de uma confusão de tipos registrada como CVE-2026-112659. Outras três atingem o Canvas, as ligações de JavaScript e o modelo de processos do navegador.
O pacote traz ainda duas fugas de sandbox, o mecanismo que isola um aplicativo do resto do sistema. Uma está no modelo de processos do WebKit e foi resolvida com a remoção do código vulnerável, e a outra está na App Store, reportada por pesquisadores da Cisco Talos. Cerca de 15 correções atingem o kernel.
Quatro entradas tratam de privacidade. A CVE-2026-86987, no Apple Intelligence, permitia que um atacante remoto acessasse dados sensíveis do usuário. A CVE-2026-112500 expunha o endereço real de quem usa o Ocultar Meu E-mail, e outras duas deixavam um aplicativo listar os programas instalados e acionar a câmera sem autorização.
O aviso da Apple não registra exploração de nenhuma das 163 falhas. No mesmo dia a empresa liberou o iOS 18.7.11 para aparelhos mais antigos, entre eles o iPhone XS e o iPhone XR, tratando a CVE-2026-86950 no CoreGraphics. Sobre essa, a Apple afirmou ter recebido relato de que pode ter sido explorada em ataque extremamente sofisticado contra pessoas específicas.
A CVE-2026-86950 é uma escrita fora dos limites de memória que pode ser disparada por um arquivo preparado e levar à execução de código, e foi reportada pela equipe de segurança de produto da Meta. A mesma falha havia sido corrigida em setembro para aparelhos mais novos, no iOS 26.7.1.
O iOS 27.2 alcança o iPhone 11 e modelos posteriores, e quem não migrou para a versão 27 recebeu o iOS 26.7.2 no mesmo dia. A atualização fica em Ajustes, Geral, Atualização de Software. A Apple não publica nota de gravidade nos próprios avisos, e a prioridade prática está nas falhas do WebKit, que dispensam do alvo qualquer ação além de abrir uma página.
