Sobre o conteúdo de segurança do iOS 26.4 e do iPadOS 26.4

Este documento descreve o conteúdo de segurança do iOS 26.4 e do iPadOS 26.4.

Sobre as atualizações de segurança da Apple

Para garantir a proteção dos clientes, a Apple não divulga, não discute, nem confirma problemas de segurança até que seja conduzida investigação e as correções ou versões estejam disponíveis. As versões recentes estão indicadas na página Versões de segurança da Apple.

Os documentos de segurança da Apple mencionam vulnerabilidades por meio do ID de CVE quando possível.

Para mais informações sobre segurança, consulte a página Segurança do produto Apple.

iOS 26.4 e iPadOS 26.4

Lançado em 24 de março de 2026

802.1X

Disponível para: iPhone 11 e posterior, iPad Pro de 12,9 polegadas de 3ª geração e posterior, iPad Pro de 11 polegadas de 1ª geração e posterior, iPad Air de 3ª geração e posterior, iPad de 8ª geração e posterior e iPad mini de 5ª geração e posterior

Impacto: um invasor em uma posição de rede privilegiada pode interceptar o tráfego de rede

Descrição: um problema de autenticação foi resolvido por meio de melhorias no gerenciamento de estados.

CVE-2026-28865: Héloïse Gollier e Mathy Vanhoef (KU Leuven)

Accounts

Impacto: um app pode conseguir acessar dados confidenciais do usuário

Descrição: um problema de autorização foi resolvido por meio de melhorias no gerenciamento de estados.

CVE-2026-28877: Rosyna Keller da Totally Not Malicious Software

App Protection

Disponível para: iPhone 11 e posterior

Impacto: um invasor com acesso físico a um dispositivo iOS com a Proteção de Dispositivo Roubado ativada pode conseguir abrir apps protegidos com biometria usando o código de acesso

Descrição: o problema foi resolvido por meio de melhorias nas verificações.

CVE-2026-28895: Adrián Pérez Martínez, Uluk Abylbekov e Zack Tickman

Entrada atualizada em 9 de abril de 2026

Audio

Impacto: processar conteúdo da web criado com códigos mal-intencionados pode causar uma falha inesperada no processo

Descrição: um problema do tipo "uso após a liberação" foi resolvido por meio de melhorias no gerenciamento da memória.

CVE-2026-28879: Justin Cohen do Google

Audio

Impacto: um invasor pode causar um desligamento inesperado de apps

Descrição: um problema de confusão de tipos foi resolvido por meio de melhorias no processamento da memória.

CVE-2026-28822: Jex Amro

Baseband

Impacto: um invasor remoto pode causar o encerramento inesperado de apps

Descrição: o problema foi resolvido por meio de melhorias nas verificações.

CVE-2026-28874: Hazem Issa, Tuan D. Hoang e Yongdae Kim @ SysSec, KAIST

Baseband

Disponível para: iPhone 16e

Impacto: um invasor remoto podia causar uma negação de serviço

Descrição: um estouro de buffer foi resolvido por meio de melhorias na verificação de limites.

CVE-2026-28875: Tuan D. Hoang e Yongdae Kim @ KAIST SysSec Lab

Calling Framework

Impacto: um invasor remoto podia causar uma negação de serviço

Descrição: um problema de negação de serviço foi resolvido por meio de melhorias na validação de entradas.

CVE-2026-28894: pesquisador anônimo

Clipboard

Impacto: um app pode conseguir acessar dados confidenciais do usuário

Descrição: esse problema foi resolvido por meio de melhorias na validação de links simbólicos.

CVE-2026-28866: Cristian Dinca (icmd.tech)

CoreMedia

Impacto: o processamento de um fluxo de áudio em um arquivo de mídia criado de forma mal-intencionada pode encerrar o processo

Descrição: um problema de acesso fora dos limites foi resolvido por meio de melhorias na verificação de limites.

CVE-2026-20690: Hossein Lotfi (@hosselot) da Zero Day Initiative da Trend Micro

CoreUtils

Impacto: um usuário em uma posição de rede privilegiada pode ser capaz de causar uma negação de serviço

Descrição: um problema de cancelamento de referência de ponteiro nulo foi resolvido por meio de melhorias na validação de entradas.

CVE-2026-28886: Etienne Charron (Renault) e Victoria Martini (Renault)

Crash Reporter

Impacto: um app pode enumerar os apps instalados de um usuário

Descrição: um problema de privacidade foi resolvido com a remoção de dados confidenciais.

CVE-2026-28878: Zhongcheng Li da IES Red Team

curl

Impacto: existia um problema em "curl" que pode causar o envio não intencional de informações confidenciais por meio de uma conexão incorreta

Descrição: vulnerabilidade em código aberto e software Apple entre os projetos afetados. O CVE-ID foi atribuído por terceiros. Saiba mais sobre o problema e o CVE-ID em cve.org.

CVE-2025-14524

DeviceLink

Impacto: um app pode conseguir acessar dados confidenciais do usuário

Descrição: um problema de análise no processamento de caminhos de diretório foi resolvido por meio de melhorias na validação de caminhos.

CVE-2026-28876: Andreas Jaegersberger e Ro Achterberg da Nosebeard Labs

GeoServices

Impacto: um app pode conseguir acessar dados confidenciais do usuário

Descrição: um vazamento de informações foi resolvido por meio de validação adicional.

CVE-2026-28870: XiguaSec

iCloud

Impacto: um app pode enumerar os apps instalados de um usuário

Descrição: um problema em permissões foi resolvido por meio de restrições adicionais.

CVE-2026-28880: Zhongcheng Li da IES Red Team

CVE-2026-28833: Zhongcheng Li da IES Red Team

ImageIO

Impacto: processar um arquivo criado com códigos mal-intencionados pode causar o encerramento inesperado de apps

Descrição: vulnerabilidade em código aberto e software Apple entre os projetos afetados. O CVE-ID foi atribuído por terceiros. Saiba mais sobre o problema e o CVE-ID em cve.org.

CVE-2025-64505

Kernel

Impacto: um app pode divulgar a memória do kernel

Descrição: um problema de registro foi resolvido por meio de melhorias na redação de dados.

CVE-2026-28868: 이동하 (Lee Dong Ha de BoB 0xB6)

Kernel

Impacto: um app pode causar vazamento de estados confidenciais do kernel

Descrição: esse problema foi resolvido por meio de melhorias na autenticação.

CVE-2026-28867: Jian Lee (@speedyfriend433)

Kernel

Impacto: um app pode causar o encerramento inesperado do sistema ou corromper a memória do kernel

Descrição: o problema foi resolvido por meio de melhorias no processamento da memória.

CVE-2026-20698: DARKNAVY (@DarkNavyOrg)

Kernel

Impacto: um app pode causar o encerramento inesperado do sistema ou gravar na memória do kernel

Descrição: um problema do tipo "uso após a liberação" foi resolvido por meio de melhorias no gerenciamento da memória.

CVE-2026-20687: Johnny Franks (@zeroxjf)

libxpc

Impacto: um app pode enumerar os apps instalados de um usuário

Descrição: esse problema foi resolvido por meio de melhorias nas verificações.

CVE-2026-28882: Ilias Morad (A2nkF) do Voynich Group, Duy Trần (@khanhduytran0), @hugeBlack

Mail

Impacto: os recursos "Ocultar o endereço IP" e "Bloquear todo o conteúdo remoto" talvez não se apliquem a todo o conteúdo de Mail

Descrição: um problema relacionado à privacidade foi resolvido por meio de melhorias no processamento das preferências do usuário.

CVE-2026-20692: Andreas Jaegersberger e Ro Achterberg da Nosebeard Labs

Printing

Impacto: um app pode conseguir sair de sua área restrita

Descrição: um problema de processamento de caminhos foi resolvido por meio de melhorias na validação.

CVE-2026-20688: wdszzml e Atuin Automated Vulnerability Discovery Engine

Sandbox Profiles

Impacto: um app pode conseguir capturar a impressão digital do usuário

Descrição: um problema em permissões foi resolvido por meio de restrições adicionais.

CVE-2026-28863: Gongyu Ma (@Mezone0)

Security

Impacto: um invasor local pode obter acesso a itens das chaves do usuário

Descrição: o problema foi resolvido por meio de melhorias nas verificações de permissões.

CVE-2026-28864: Alex Radocea

Siri

Impacto: um invasor com acesso físico a um dispositivo bloqueado pode ver informações de contato privadas

Descrição: o problema foi resolvido por meio de melhorias no processo de autenticação.

CVE-2026-28856: pesquisador anônimo

Telephony

Impacto: um usuário remoto pode causar o encerramento inesperado do sistema ou corromper a memória do kernel

Descrição: um estouro de buffer foi resolvido por meio de melhorias na verificação de limites.

CVE-2026-28858: Hazem Issa e Yongdae Kim @ SysSec, KAIST

UIFoundation

Impacto: um app pode ser capaz de causar uma negação de serviço

Descrição: um estouro de pilha foi resolvido por meio de melhorias na validação de entradas.

CVE-2026-28852: Caspian Tarafdar

WebKit

Impacto: o processamento de conteúdo da Web criado com códigos maliciosos pode impedir a aplicação da Política de Segurança de Conteúdo

Descrição: esse problema foi resolvido por meio de melhorias no gerenciamento de estados.

WebKit Bugzilla: 304951

CVE-2026-20665: webb

WebKit

Impacto: o processamento de conteúdo da web criado com códigos maliciosos pode ignorar a Política de Mesma Origem

Descrição: um problema de origem cruzada na API Navigation foi resolvido com a validação aprimorada de entrada.

WebKit Bugzilla: 306050

CVE-2026-20643: Thomas Espach

WebKit

Impacto: acessar um site criado com códigos mal-intencionados pode resultar em um ataque de transmissão de script entre sites

Descrição: um problema na lógica foi resolvido por meio de melhorias nas verificações.

WebKit Bugzilla: 305859

CVE-2026-28871: @hamayanhamayan

WebKit

Impacto: processar conteúdo da web criado com códigos mal-intencionados pode causar uma falha inesperada no processo

Descrição: o problema foi resolvido por meio de melhorias no processamento da memória.

WebKit Bugzilla: 306136

CVE-2026-20664: Daniel Rhea, Söhnke Benedikt Fischedick (Tripton), Emrovsky & Switch, Yevhen Pervushyn

WebKit Bugzilla: 307723

CVE-2026-28857: Narcis Oliveras Fontàs, Söhnke Benedikt Fischedick (Tripton), Daniel Rhea, Nathaniel Oh (@calysteon)

WebKit

Impacto: um site mal-intencionado pode conseguir acessar manipuladores de mensagens em script destinados a outras origens

Descrição: um problema de lógica foi resolvido por meio de melhorias no gerenciamento de estados.

WebKit Bugzilla: 307014

CVE-2026-28861: Hongze Wu e Shuaike Dong da equipe Ant Group Infrastructure Security Team

WebKit

Impacto: um site mal-intencionado pode conseguir processar conteúdo da web restrito fora da área restrita

Descrição: o problema foi resolvido por meio de melhorias no processamento da memória.

WebKit Bugzilla: 308248

CVE-2026-28859: greenbynox, Arni Hardarson

WebKit Sandboxing

Impacto: uma página da Web criada com códigos maliciosos pode criar uma representação exclusiva do usuário

Descrição: um problema de autorização foi resolvido por meio de melhorias no gerenciamento de estados.

WebKit Bugzilla: 306827

CVE-2026-20691: Gongyu Ma (@Mezone0)

Outros reconhecimentos

Accessibility

Gostaríamos de agradecer a Abhay Kailasia (@abhay_kailasia) da Safran Mumbai, Índia, e a Jacob Prezant (prezant.us) pela ajuda.

AirPort

Gostaríamos de agradecer a Yashar Shahinzadeh, Saman Ebrahimnezhad, Amir Safari e Omid Rezaii pela ajuda.

App Protection

Gostaríamos de agradecer a Andr.Ess pela ajuda.

Bluetooth

Gostaríamos de agradecer a Hamid Mahmoud pela ajuda.

Captive Network

Gostaríamos de agradecer a Kun Peeks (@SwayZGl1tZyyy) pela ajuda.

CipherML

Gostaríamos de agradecer a Nils Hanff (@nils1729@chaos.social) do Hasso Plattner Institute pela ajuda.

CloudAttestation

Gostaríamos de agradecer a Suresh Sundaram, Willard Jansen pela ajuda.

CoreUI

Gostaríamos de agradecer a Peter Malone pela ajuda.

Find My

Gostaríamos de agradecer a Salemdomain pela ajuda.

GPU Drivers

Gostaríamos de agradecer a Jian Lee (@speedyfriend433) pela ajuda.

ICU

Gostaríamos de agradecer a Jian Lee (@speedyfriend433) pela ajuda.

Kernel

Gostaríamos de agradecer a DARKNAVY (@DarkNavyOrg), Kylian Boulard De Pouqueville da Fuzzinglabs, Patrick Ventuzelo da Fuzzinglabs, Robert Tran, Suresh Sundaram pela ajuda.

libarchive

Gostaríamos de agradecer a Andreas Jaegersberger e Ro Achterberg da Nosebeard Labs, Arni Hardarson pela ajuda.

libc

Gostaríamos de agradecer a Vitaly Simonovich pela ajuda.

Libnotify

Gostaríamos de agradecer a Ilias Morad (@A2nkF_) pela ajuda.

LLVM

Gostaríamos de agradecer a Nathaniel Oh (@calysteon) pela ajuda.

mDNSResponder

Gostaríamos de agradecer a William Mather pela ajuda.

Messages

Gostaríamos de agradecer a JZ pela ajuda.

MobileInstallation

Gostaríamos de agradecer a Gongyu Ma (@Mezone0) pela ajuda.

Music

Gostaríamos de agradecer a Mohammad Kaif (@_mkahmad | kaif0x01) pela ajuda.

NetworkExtension

Gostaríamos de agradecer a Jianfeng Chen de yq12260 da Intretech pela ajuda.

Notes

Gostaríamos de agradecer a Dawuge da Shuffle Team e à Hunan University pela ajuda.

Notifications

Gostaríamos de agradecer a Abhay Kailasia (@abhay_kailasia) do Lakshmi Narain College of Technology Bhopal, Índia, pela ajuda.

ppp

Gostaríamos de agradecer a Dave G. pela ajuda.

Quick Look

Gostaríamos de agradecer a Wojciech Regula da SecuRing (wojciechregula.blog) e um pesquisador anônimo pela ajuda.

Safari

Gostaríamos de agradecer a @RenwaX23, Bikesh Parajuli, Farras Givari, Syarif Muhammad Sajjad, Yair pela ajuda.

Safari Private Browsing

Gostaríamos de agradecer a Jaime Gallego Matud pela ajuda.

Shortcuts

Gostaríamos de agradecer a Waleed Barakat (@WilDN00B) e Paul Montgomery (@nullevent) pela ajuda.

Siri

Gostaríamos de agradecer a Anand Mallaya, consultor técnico, Anand Mallaya e Co., Harsh Kirdolia, Hrishikesh Parmar, autônomo, pela ajuda.

Spotlight

Gostaríamos de agradecer a Bilge Kaan Mızrak, Claude & Friends: Risk Analytics Research Group, Zack Tickman pela ajuda.

Status Bar

Gostaríamos de agradecer a Sahel Alemi pela ajuda.

Telephony

Gostaríamos de agradecer a Xue Zhang, Yi Chen pela ajuda.

Time Zone

Gostaríamos de agradecer a Abhay Kailasia (@abhay_kailasia) da Safran Mumbai, Índia, pela ajuda.

UIKit

Gostaríamos de agradecer a AEC, Abhay Kailasia (@abhay_kailasia) da Safran Mumbai, Índia, Ben Gallagher, Bishal Kafle (@whoisbishal.k), Carlos Luna (Departamento da Marinha dos EUA), Dalibor Milanovic, Daren Goodchild, JS De Mattei, Maxwell Garn, Zack Tickman, fuyuu12, incredincomp pela ajuda.

Wallet

Gostaríamos de agradecer a Zhongcheng Li da IES Red Team da ByteDance pela ajuda.

Web Extensions

Gostaríamos de agradecer a Carlos Jeurissen, Rob Wu (robwu.nl) pela ajuda.

WebKit

Gostaríamos de agradecer a Vamshi Paili, greenbynox e um pesquisador anônimo pela ajuda.

WebKit Process Model

Gostaríamos de agradecer a Joseph Semaan pela ajuda.

Wi-Fi

Gostaríamos de agradecer a Kun Peeks (@SwayZGl1tZyyy) e um pesquisador anônimo pela ajuda.

Wi-Fi Connectivity

Gostaríamos de agradecer a Alex Radocea da Supernetworks, Inc pela ajuda.

Widgets

Gostaríamos de agradecer a Marcel Voß, Mitul Pranjay, Serok Çelik pela ajuda.

As informações sobre produtos não fabricados pela Apple, ou sites independentes não controlados nem testados pela Apple, são fornecidas sem recomendação ou endosso. A Apple não assume responsabilidade alguma com relação à escolha, ao desempenho ou ao uso de sites ou produtos de terceiros. A Apple não garante a precisão nem a confiabilidade de sites de terceiros. Entre em contato com o fornecedor para obter mais informações.

Data da publicação: 14 de abril de 2026