A Apple corrigiu na segunda-feira, 28 de setembro, uma falha no iPhone que já foi usada em ataque real: basta abrir um arquivo preparado para o invasor conseguir rodar código no aparelho. A correção é o iOS 26.7.1, e ela vale para todo iPhone do 11 em diante que ainda não foi para o iOS 27.

No Brasil, a maior parte dos iPhones ainda está no iOS 26, então esse aviso é para muita gente. Abaixo está o que a falha faz, quem precisa atualizar, como escolher entre o iOS 26 e o 27, o buraco que ficou nos iPhones XS e XR e quando a Siri com IA chega em português.

• O que a falha faz e quem foi alvo

• Quem precisa do 26.7.1 e como atualizar

• iOS 26 ou 27: qual escolher agora

• iPhone XS e XR: o aparelho que ficou sem correção

• Quando a Siri com IA chega em português

O que a falha faz

A falha, catalogada como CVE-2026-86950, fica no CoreGraphics, a parte do sistema que desenha imagens e documentos. Um arquivo manipulado pode escrever fora da área de memória permitida e, com isso, executar código no iPhone. A Apple diz que ela pode ter sido explorada num ataque "extremamente sofisticado" contra pessoas específicas.

O texto da nota de segurança da Apple diz que o ataque atingiu versões anteriores ao iOS 27. Quem reportou foi a equipe de segurança da Meta. A nota de gravidade é 8,8 de 10, e a falha exige interação: a vítima precisa abrir o arquivo.

A agência de cibersegurança dos EUA, a CISA, pôs a falha no catálogo de vulnerabilidades exploradas em 29 de setembro e deu aos órgãos federais americanos até 2 de outubro para corrigir. Quando o governo americano dá três dias, o assunto é sério. A mesma falha foi corrigida no Mac, no macOS Tahoe 26.7.1 e no macOS Sequoia 15.8.1.

Quem precisa atualizar agora

Todo iPhone do 11 em diante que está no iOS 26 precisa do iOS 26.7.1, e também os iPads compatíveis. Quem já está no iOS 27 recebeu no mesmo dia o 27.0.1, que corrige travamentos e não lista correção de segurança. A falha não aparece na nota do iOS 27, e os analistas entendem que ele não foi afetado.

Para atualizar:

1. Abra Ajustes, Geral, Atualização de Software. A mesma tela mostra a versão que está instalada.

2. Se aparecer o iOS 26.7.1, toque em atualizar. O iOS 27 aparece como opção no fim da tela.

3. Em Atualizações Automáticas, ligue "Baixar Automaticamente" e "Instalar Automaticamente".

4. Em Ajustes, Privacidade e Segurança, deixe ligadas as Melhorias de Segurança em Segundo Plano, que existem desde o iOS 26.1.

Um detalhe do quarto passo: as Melhorias de Segurança em Segundo Plano são o canal que a Apple usa para correções rápidas, sem atualização completa. Esta correção não veio por ele, veio como iOS 26.7.1 inteiro. Então não conte com o automático: abra a tela e confira o número.

Atualização de segurança só protege quem instala. E, no iPhone, instalar ainda depende de você abrir uma tela que ninguém abre.

iOS 26 ou iOS 27?

Para segurança, os dois servem hoje: o iOS 26.7.1 corrige a falha, e o iOS 27 não foi afetado. A Apple oferece as duas atualizações aos mesmos iPhones, com o 26.7.1 como padrão e o 27 como opção. Quem depende de um app de trabalho que ainda não foi testado no 27 pode ficar no 26 por enquanto.

O "por enquanto" pesa. Em dezembro de 2025, a Apple escondeu a atualização do iOS 18.7.3 e deixou o iOS 26 como única opção, segundo o MacMagazine. Ficar na versão anterior é uma fase de transição, não um lugar para morar. O iOS 27 roda em todos os iPhones que rodam o 26, do 11 em diante e no SE de 2ª e 3ª geração.

A regra que eu defendo para servidor e para versão de PHP perto do fim do suporte: correção de segurança entra na hora, versão nova entra quando o que você depende já foi testado nela. No celular pessoal, isso quer dizer 26.7.1 hoje e o 27 quando der.

O buraco do iPhone XS e XR

Os iPhones XS, XS Max e XR não recebem o iOS 26 e ficaram no iOS 18, que não ganhou correção. O último iOS 18 é o 18.7.10, de 17 de agosto. A Apple escreveu que o ataque mirou versões anteriores ao iOS 27, mas não disse se o iOS 18 é afetado.

Ao pé da letra, "anterior ao iOS 27" inclui o 18. Isso é leitura minha, não afirmação da Apple. Para quem tem XS ou XR, o conselho prático é o de sempre para aparelho no fim da vida: não abrir arquivo que chegou de quem você não conhece, manter os apps atualizados e planejar a troca.

Se a troca estiver no horizonte, eu escrevi sobre por que o iPhone Duo custa tanto no Brasil, e a conta de importar ou comprar aqui vale para qualquer modelo.

Você é alvo? Provavelmente não

Provavelmente não. A Apple fala em ataque contra pessoas específicas, o perfil típico de spyware comercial usado contra jornalista, ativista e político. Ninguém atribuiu este ataque a um fornecedor até agora. Mas falha de elite costuma descer para ataque comum depois de corrigida, e é por isso que o aviso vale para todo mundo.

Isso já aconteceu neste ano. Em março, os kits de ataque Coruna e DarkSword pegaram iPhones com iOS desatualizado por meio de sites comprometidos, e a Apple pediu que todo mundo atualizasse. O alvo passou a ser quem estava atrasado, não quem era importante.

Para quem é alvo de verdade, a Apple tem duas ferramentas:

• Notificação de ameaça: a Apple avisa quem ela detecta como alvo de spyware, e diz que já avisou usuários em mais de 150 países. Desde agosto o alerta aparece na tela bloqueada e nos Ajustes.

• Modo de Isolamento: em Ajustes, Privacidade e Segurança, Modo de Isolamento, "Ativar e Reiniciar". Ele bloqueia a maioria dos anexos de mensagem e as chamadas de FaceTime recebidas, entre outras coisas. Incomoda no dia a dia, e é para isso que existe.

Para o resto de nós, o risco real continua sendo o golpe comum, como o de voz clonada pedindo Pix, e a rotina de aplicar patch sem adiar, que vale para o celular tanto quanto para o servidor.

A Siri em português chega em outubro

A Apple prometeu a Siri com IA, chamada Siri AI, em beta em português do Brasil "em outubro". Ela responde perguntas consultando a web, encontra detalhes em mensagens, e-mails e fotos e executa ações dentro dos apps. Funciona do iPhone 15 Pro em diante e em toda a linha do iPhone 16 e posteriores.

O português vem no iOS 27.2: a primeira versão de teste, de 16 de setembro, já trazia a opção, segundo o MacMagazine. Os sites que acompanham a Apple esperam o 27.2 final em outubro, provavelmente no fim do mês. O iOS 27.1 é só do iPhone Duo, que sai em 23 de outubro.

Três detalhes do anúncio que pouca gente leu. A Siri AI tem limite diário de uso, e a Apple diz que "um acesso ampliado" será pago no futuro, sem preço. Ela não está disponível para menores de 13 anos. E o anúncio em inglês diz que os novos modelos da Apple foram feitos em colaboração com o Google e o Gemini.

As apostas, com a probabilidade do Jev, escritas pelo lado que ele acha mais provável. Eu confiro nas datas, e o resultado vai para o placar público das previsões:

Se você quer saber quando a Siri em português sair de verdade, sem precisar ficar olhando a tela de atualização, eu aviso na newsletter do golber.net.

Perguntas frequentes

Vale a pena atualizar para o iOS 26.7.1?

Vale, e agora. Ele corrige uma falha no CoreGraphics que a Apple diz ter sido explorada em ataque real. Não traz recurso novo, então não há motivo para esperar.

Meu iPhone recebe o iOS 26.7.1?

Recebe se for do iPhone 11 em diante. O iPhone XS, o XS Max e o XR ficaram no iOS 18 e não ganharam correção até agora.

É melhor atualizar para o iOS 27 ou ficar no 26?

Para segurança, os dois servem hoje. Se algum app de trabalho ainda não funciona bem no 27, fique no 26.7.1 por enquanto. A Apple costuma deixar a versão anterior disponível só por alguns meses.

Como saber se meu iPhone foi invadido?

Para ataques desse nível, a Apple manda uma notificação de ameaça, que desde agosto aparece na tela bloqueada e nos Ajustes. Sem esse aviso, o mais provável é que você não tenha sido alvo. Atualize e desconfie de arquivos de origem desconhecida.

Quando a Siri com IA chega em português?

A Apple prometeu a versão beta em português do Brasil para outubro, e ela está no iOS 27.2, que já tem versão de teste. Funciona do iPhone 15 Pro em diante.