Conteúdo da atualização de segurança do iOS 15.8.5 e do iPadOS 15.8.5

• Foi divulgada a atualização de segurança do iOS 15.8.5 e do iPadOS 15.8.5
• Foi relatada uma vulnerabilidade de corrupção de memória ao processar arquivos de imagem maliciosos
• Há casos em que essa vulnerabilidade foi explorada contra alvos específicos em ataques altamente sofisticados
• A Apple informou que resolveu o problema com verificações de limites reforçadas
• A vulnerabilidade de segurança está registrada e sendo rastreada como CVE-2025-43300

---

Visão geral

• Este aviso de segurança trata de conteúdos relacionados à segurança do iOS 15.8.5 e do iPadOS 15.8.5
• A Apple mantém uma política de não comentar nem confirmar questões de segurança até que a investigação e a correção sejam concluídas, para proteger os clientes
• A lista de lançamentos de segurança publicados recentemente pode ser consultada no site oficial da Apple

Dispositivos afetados

• Esta atualização está disponível para iPhone 6s (todos os modelos), iPhone 7 (todos os modelos), iPhone SE (1ª geração), iPad Air 2, iPad mini (4ª geração) e iPod touch (7ª geração)

Principais problemas de segurança e detalhes

• Impacto: ao processar um arquivo de imagem manipulado de forma maliciosa, pode ocorrer corrupção de memória
• A Apple recebeu relatos de que essa vulnerabilidade foi efetivamente explorada em ataques altamente sofisticados direcionados a indivíduos específicos
• Descrição: foi descoberta uma vulnerabilidade de out-of-bounds write causada por tratamento incorreto de limites
• O problema foi corrigido por meio de verificações de limites reforçadas
• A vulnerabilidade está registrada e gerenciada sob o identificador CVE-2025-43300

Outras observações

• A Apple não se responsabiliza nem oferece garantias sobre produtos que não fabrica, sites independentes ou produtos e serviços de terceiros
• Para informações adicionais sobre produtos de terceiros, é necessário entrar em contato com o fabricante

Informações adicionais

• Detalhes sobre as atualizações de segurança mais recentes, o sistema de CVE-ID e a política de segurança da Apple podem ser consultados nas páginas oficiais relacionadas da Apple

[GN⁺]

Comentários no Hacker News

• Há muitas opiniões negativas sobre a UI recente da Apple, mas é digno de reconhecimento o fato de ela ainda dar suporte até a celulares realmente antigos. Do lado do Google Pixel, dá a sensação de que não dá para esperar isso lol
  • Os modelos a partir do Pixel 8 têm 7 anos de suporte. Ainda é menos do que a Apple, mas é bem razoável. O Pixel 6~7 tinha 5 anos de suporte, o que é um pouco curto. O verdadeiro “lol” seria mais para modelos anteriores a 2021 ou alguns modelos da Motorola
  • Eu uso um Pixel 3XL, e ele ainda dá para usar muito bem se você instalar uma ROM Android recente. Sinceramente, a ponto de eu achar melhor do que um Android básico atual. É uma pena que o suporte oficial tenha acabado
  • Meu Pixel XL funciona bem para navegar na web à noite. Sou cético em relação a esse medo de “não vai mais ter atualização do sistema”. Gostaria de ouvir estudos de caso ou relatos de experiência de situações em que usar um aparelho antigo realmente expôs alguém a riscos ou problemas reais de segurança
  • Troquei recentemente a bateria do meu iPhone 12 mini, e o desempenho está tão bom quanto quando comprei. Vai ser triste no dia em que eu tiver que “atualizar” à força
  • Na UE, 5 anos de suporte a atualizações virou requisito mínimo, então agora a Apple fica entre os piores mesmo em comparação com Google ou Samsung. Talvez antes a Apple fosse melhor, mas hoje outros fabricantes estão prometendo suporte mais forte e juridicamente mais garantido do que a Apple
• Nada surpreendente. No passado, fui me reunir com a Samsung por trabalho para comprar centenas de celulares flagship, e eles disseram que dariam só 3 anos de patches de segurança. Isso foi por volta de 2019. Já a Apple, sem nenhuma reunião separada, estimava algo como 6 anos de suporte. Então, olhando o ROI, para uso corporativo o iPhone durava claramente mais. Por isso compramos apenas centenas de iPhones e não adotamos Android. Pessoalmente, usei Nexus S e Nexus 5, e eles tiveram vida curta por falta de atualizações, botão quebrado, microfone quebrado etc. O Sony Xperia Z5 removeu de repente o sensor de impressão digital por questões de patente na América do Norte, e o áudio Bluetooth também quebrou, a ponto de não mostrar o nome das músicas. Tudo isso aconteceu em menos de 3 anos. Nunca mais uso celular Android da Sony. Chegou uma hora em que até ROM customizada cansou, e eu simplesmente migrei para o grupo do “iPhone, it just works”
  • Só como referência: hoje a Samsung oferece 7 anos de suporte de OS/segurança nos flagships, e até 6 anos na linha Galaxy A de entrada/intermediária
  • “it just works” é só slogan de marketing. Se você usar apenas os recursos que a grande maioria usa, algo como 95%+, tudo bem, mas fora disso ninguém sabe o que pode acontecer, e resolver problema é difícil. É fechado e restritivo. Eu dei azar com a Apple. Os aparelhos Apple que recebi para trabalho tiveram pouco suporte, defeito no touchscreen, problemas de software em apps, bateria ruim, hotspot capado e outros transtornos. No Android eu não tinha esses problemas. Se um app dá problema, basta resetar os dados; no iOS nem existe esse recurso, então é inconveniente. Hoje em dia, o cliente de e-mail de um amigo usuário de Apple não funciona nem no iOS nem no macOS. Como o problema aparece de forma diferente conforme os dados e o OS, provavelmente vou ter que dirigir 90 minutos de um lugar para outro para ver isso pessoalmente. Na Apple, quando algo quebra, há muito poucas formas de resolver por conta própria, então para mim é um fornecedor com quem eu não quero trabalhar. Claro, a maioria dos recursos “funciona bem”, mas no Android também, e assim como eu tive azar com a Sony, tive casos ruins com a Apple. Acho melhor ter ao menos a opção de trocar o OS quando o problema é sério, como no caso da Sony
• Durante muito tempo, uma grande razão para o suporte de longo prazo ser difícil no Android foi o fato de fornecedores de modem/SoC como a Qualcomm só oferecerem drivers e atualizações de software por poucos anos. Em aparelhos anteriores a 2020~2021, quase não há atualizações de driver de kernel ou modem. É claro que o fabricante ainda faz a integração, mas no fim isso também limita o prazo de suporte de ROMs de terceiros, como o LineageOS. A Apple lida internamente com a maior parte dos componentes e do software, então consegue oferecer suporte longo com mais flexibilidade
  • O ponto difícil de concordar nessa argumentação é que uma parte considerável das vulnerabilidades de segurança (CVEs) não tem relação com modem, drivers de baseband ou partes controladas pela Broadcom. O Google ainda poderia corrigir áreas de alto risco de ataque, como bibliotecas e apps. Eu me preocupo mais com vulnerabilidades no “parsing de imagens em mensagens”. Nesse caso, você pode ser atacado só por clicar numa imagem, e isso parece um risco muito mais realista do que uma vulnerabilidade do lado do modem
  • Isso é verdade, mas no fim essa é uma limitação fundamental do próprio design do Android. Acho justo criticar o Android por isso
  • Pensando bem, isso é absurdo. Até NIC de 20 anos ainda tem driver suportado no kernel Linux, então os drivers de hardware de smartphone deveriam ser públicos sob GPL. No fim, drivers fechados acabam servindo como ferramenta para encurtar deliberadamente a vida útil do aparelho, ou seja, obsolescência programada
  • O elemento jurídico que rebate essa desculpa comum é justamente o “contrato”. Dá para obrigar o fornecedor a oferecer atualizações pelo tempo que você quiser, mesmo depois da entrega do projeto. Eu mesmo já fiz esse tipo de contrato repetidamente em consultoria enterprise
  • Acho que, se o Google quisesse mesmo, poderia resolver isso facilmente com contrato e dinheiro
• No aviso de segurança da Apple está escrito que “há indícios de exploração em ataques sofisticados direcionados a alvos específicos”. Fico curioso se o fato de eles terem lançado um patch de segurança para versões antigas pode ser interpretado como sinal de que essa vulnerabilidade é realmente muito perigosa. Também queria saber qual é o critério oficial da Apple para o período de suporte de segurança
  • Isso significa que houve caso de exploração real em campanha de spyware, em ataque de verdade. A cadeia completa do exploit usou uma segunda vulnerabilidade do lado do WhatsApp, e essa vulnerabilidade em si existe em todos os apps que usam o módulo padrão de processamento de imagens da Apple, mas, graças ao sandbox da Apple (BlastDoor no iMessage, sandbox de conteúdo web no Safari etc.), a chance de exploração sem falhas adicionais é baixa. Mas se o próprio WhatsApp estiver vulnerável, a história muda. Do ponto de vista de atacantes de spyware, o WhatsApp é o melhor alvo possível. Referência: aviso de segurança do WhatsApp
  • Um ponto interessante é que este patch é anterior à divisão do iPadOS, então o iPad também entrou como alvo da atualização. Minha suposição é que aparelhos POS com iPads antigos podem ter sido alvo de ataque. Trocar sistema de POS em restaurante também nunca foi algo simples. Muitos fornecedores de POS também exploram bastante nos preços

  • Qual é mais ou menos o período padrão de suporte de segurança da Apple?
    Na prática, não é algo que tenha sido encerrado há tanto tempo assim. A última atualização de segurança do iOS 15 saiu no começo deste ano, e faz só alguns anos que o iPhone 6s deixou de receber suporte a novas versões de OS a partir do iOS 16. Para quem, como eu, usou iPhone por mais de 5 anos, isso parece muito melhor do que no Android

  • Dá para interpretar esse backport (patch de segurança para versão antiga) como sinal de vulnerabilidade grave?
    Eu também suspeito disso. Do ponto de vista do usuário, entendo como um problema grave fora do seu controle, algo como zero-click. Claro que não sei a posição da Apple, mas penso o mesmo

  • Não existe um prazo oficial exato. Se for um problema realmente importante, às vezes eles lançam atualização até para versões bem antigas. Por exemplo, no passado a Apple também lançou uma atualização de vencimento de CA para iPads usados em terminais Square, cobrindo quase todos os aparelhos. Imagino que a telemetria da Apple e o modelo de ameaças influenciem a decisão sobre quando encerrar o suporte
• É interessante a Apple lançar atualizações de segurança para aparelhos antigos. Ainda mais porque desta vez o foco é defesa contra atacantes de nível estatal, como guerra cibernética

  A Apple está ciente de relatos de que este problema pode ter sido explorado em um ataque altamente sofisticado contra alvos específicos

  • Se há possibilidade de ataque em nível estatal, acho que o certo é usar um celular novo com o OS mais recente instalado. Um celular recente custa algumas centenas de milhares de won, então, se a pessoa está preocupada com ataques governamentais, provavelmente consegue trocar com facilidade para um modelo lançado nos últimos 5 anos. Vale a pena
  • Na prática, vejo isso mais como uma estratégia de corrigir antes que técnicas de ataque difíceis e hackers em nível estatal acabem se espalhando para ferramentas de hacking mais populares, protegendo assim um número muito maior de usuários comuns
• Acho que o título da matéria é um pouco enganoso. Dá a impressão de que só o iPhone 6s recebe a atualização, mas na verdade iPhone 6s/7/SE de 1ª geração, iPad Air 2, iPad mini de 4ª geração e iPod touch de 7ª geração também podem atualizar. Não é um caso para enfatizar apenas “o iPhone 6s de 10 anos”. Para constar, eu não vou atualizar imediatamente meu iPhone 7 e meu iPad mini secundários por causa de possíveis questões de jailbreak
  • Talvez a matéria só tenha citado como exemplo o aparelho mais antigo. Não acho que isso seja um grande problema
• Nessa situação, qualquer um sente um forte clima de ataque em nível estatal
  • Suspeito que seja obra de um único país
• É verdade que a Apple dá suporte aos celulares por bastante tempo. Mas dizer que são 10 anos de suporte só vale se você comprou o iPhone 6s caro logo no lançamento. O iPhone 7 (Plus) foi vendido até 2019 e usa a mesma versão de OS. Olhando de forma mais dura, seriam cerca de 3 anos de upgrades de OS e 6 anos de patches de segurança
  • Se você calcular o período de suporte a partir do fim das vendas pelo fabricante, alguns aparelhos Android podem até ter anos de suporte negativos (-). E esses 6 anos ainda estão sendo oferecidos até hoje
• É bom que a Apple tenha lançado a atualização. Mas, se isso permite até execução remota de código (RCE), fico me perguntando se isso significa que ainda há muitos iPhone 6s em uso ativo, a ponto de atacantes maliciosos poderem fazer ataques em massa
• “iOS 18.6.1 0-click RCE POC”, 50 comentários, link relacionado
  • Também vale consultar o aviso de segurança do WhatsApp, que acho que não foi mencionado no tópico anterior. Este exploit parece estar ligado ao problema do WhatsApp, numa estrutura em que dados DNG maliciosos são carregados no WhatsApp em modo “zero-click”. Não está claro se isso chegou a incluir escape de sandbox ou vulnerabilidade de kernel. Talvez tenha se limitado ao roubo de mensagens do WhatsApp. Normalmente, para contornar a segurança do iOS é preciso encadear várias vulnerabilidades, mas, se o app-alvo em si tiver uma falha desse tipo, o ataque fica muito mais fácil