Sobre o conteúdo de segurança do watchOS 26.2

Este documento descreve o conteúdo de segurança do watchOS 26.2.

Sobre as atualizações de segurança da Apple

Para garantir a proteção dos clientes, a Apple não divulga, não discute, nem confirma problemas de segurança até que seja conduzida investigação e as correções ou versões estejam disponíveis. As versões recentes estão indicadas na página de versões de segurança da Apple.

Os documentos de segurança da Apple mencionam vulnerabilidades por meio do ID de CVE quando possível.

Para mais informações sobre segurança, consulte a página Segurança do produto Apple.

watchOS 26.2

App Store

Disponível para: Apple Watch Series 6 e posterior

Impacto: um app pode conseguir acessar tokens de pagamento confidenciais

Descrição: um problema em permissões foi resolvido por meio de restrições adicionais.

CVE-2025-46288: floeki, Zhongcheng Li da IES Red Team da ByteDance

AppleJPEG

Disponível para: Apple Watch Series 6 e posterior

Impacto: o processamento de um arquivo pode causar corrupção da memória

Descrição: o problema foi resolvido por meio de melhorias nas verificações de limites.

CVE-2025-43539: Michael Reeves (@IntegralPilot)

Calling Framework

Disponível para: Apple Watch Series 6 e posterior

Impacto: um invasor pode falsificar o ID de chamador do FaceTime

Descrição: um problema de interface de usuário inconsistente foi resolvido por meio de melhorias no gerenciamento de estados.

CVE-2025-46287: um pesquisador anônimo, Riley Walz

curl

Disponível para: Apple Watch Series 6 e posterior

Impacto: diversos problemas no curl

Descrição: vulnerabilidade em código aberto e software Apple entre os projetos afetados. O CVE-ID foi atribuído por terceiros. Saiba mais sobre o problema e o CVE-ID em cve.org.

CVE-2024-7264

CVE-2025-9086

Foundation

Disponível para: Apple Watch Series 6 e posterior

Impacto: um app conseguir acessar arquivos de maneira inadequada por meio da API de verificação ortográfica

Descrição: um problema na lógica foi resolvido por meio de melhorias nas verificações.

CVE-2025-43518: Noah Gregory (wts.dev)

Foundation

Disponível para: Apple Watch Series 6 e posterior

Impacto: o processamento de dados maliciosos pode levar ao encerramento inesperado do app

Descrição: um problema de memória corrompida foi resolvido por meio de melhorias na verificação de limites.

CVE-2025-43532: Andrew Calvano e Lucas Pinheiro da Meta Product Security

Icons

Disponível para: Apple Watch Series 6 e posterior

Impacto: um app poderia identificar quais outros apps tinham sido instalados por um usuário

Descrição: um problema em permissões foi resolvido por meio de restrições adicionais.

CVE-2025-46279: Duy Trần (@khanhduytran0)

Kernel

Disponível para: Apple Watch Series 6 e posterior

Impacto: um app pode obter privilégios raiz

Descrição: um problema de estouro de inteiro foi resolvido por meio da adoção de marcação de data/hora de 64 bits.

CVE-2025-46285: Kaitao Xie e Xiaolong Bai do Alibaba Group

Messages

Disponível para: Apple Watch Series 6 e posterior

Impacto: um app pode conseguir acessar dados confidenciais do usuário

Descrição: um problema de divulgação de informações foi corrigido por meio da melhoria dos controles de privacidade.

CVE-2025-46276: Rosyna Keller do Totally Not Malicious Software

Multi-Touch

Disponível para: Apple Watch Series 6 e posterior

Impacto: um dispositivo HID malicioso pode causar uma falha inesperada no processo

Descrição: vários problemas de memória corrompida foram resolvidos por meio de melhorias na validação de entradas.

CVE-2025-43533: Google Threat Analysis Group

Screen Time

Disponível para: Apple Watch Series 6 e posterior

Impacto: um app pode conseguir acessar o histórico do Safari de um usuário

Descrição: um problema de registro foi resolvido por meio de melhorias na redação de dados.

CVE-2025-46277: Kirin (@Pwnrin)

Screen Time

Disponível para: Apple Watch Series 6 e posterior

Impacto: um app pode conseguir acessar dados confidenciais do usuário

Descrição: um problema de registro foi resolvido por meio de melhorias na redação de dados.

CVE-2025-43538: Iván Savransky

WebKit

Disponível para: Apple Watch Series 6 e posterior

Impacto: processar conteúdo da web criado com códigos maliciosos pode causar uma falha inesperada no processo

Descrição: uma condição de corrida foi resolvida por meio de melhorias no gerenciamento de estados.

CVE-2025-43531: Phil Pizlo da Epic Games

WebKit

Disponível para: Apple Watch Series 6 e posterior

Impacto: processar conteúdo da web criado com códigos maliciosos pode causar a execução arbitrária de códigos. A Apple está ciente de um relatório de que esse problema pode ter sido explorado em um ataque extremamente sofisticado contra indivíduos específicos como alvo em versões do iOS anteriores ao iOS 26. O CVE-2025-14174 também foi emitido em resposta a este relatório.

Descrição: um problema do tipo "uso após a liberação" foi resolvido por meio de melhorias no gerenciamento da memória.

CVE-2025-43529: Google Threat Analysis Group

WebKit

Disponível para: Apple Watch Series 6 e posterior

Impacto: o processamento de conteúdo da web criado com códigos mal-intencionados pode resultar na corrupção de memória. A Apple está ciente de um relatório de que esse problema pode ter sido explorado em um ataque extremamente sofisticado contra indivíduos específicos como alvo em versões do iOS anteriores ao iOS 26. O CVE-2025-43529 também foi emitido em resposta a este relatório.

Descrição: um problema de memória corrompida foi resolvido por meio de melhorias na validação.

CVE-2025-14174: Apple e Google Threat Analysis Group

WebKit Web Inspector

Disponível para: Apple Watch Series 6 e posterior

Impacto: processar conteúdo da web criado com códigos maliciosos pode causar uma falha inesperada no processo

Descrição: um problema do tipo "uso após a liberação" foi resolvido por meio de melhorias no gerenciamento da memória.

CVE-2025-43511: 이동하 (Lee Dong Ha da BoB 14th)

Outros reconhecimentos

AppleMobileFileIntegrity

Gostaríamos de agradecer a um pesquisador anônimo pela ajuda.

AppSandbox

Gostaríamos de agradecer a Mickey Jin (@patch1t) pela ajuda.

Core Services

Gostaríamos de agradecer à Golden Helm Securities pela ajuda.

Safari

Gostaríamos de agradecer a Mochammad Nosa Shandy Prastyo pela ajuda.

WebKit

Gostaríamos de agradecer a Geva Nurgandi Syahputra (gevakun) pela ajuda.