CVE-2026-20700

Nome do Software Vulnerável e Versões Afetadas iOS versões anteriores a 19.4.1 iPadOS versões anteriores a 19.4.1 macOS versões anteriores a 15.7.4 visionOS versões anteriores a 2.4.1 watchOS versões anteriores a 26.3 tvOS versões anteriores a 26.3

Description Uma falha de corrupção de memória baseada em heap existe no dyld (editor de ligação dinâmica), o componente central responsável por carregar e vincular aplicativos e bibliotecas. O problema é causado pela validação inadequada dos metadados bind info dentro de um binário carregado, onde um deslocamento impossível para uma vinculação de símbolo pode desencadear um estouro de buffer na lógica de análise de cache do dyld. Isso permite que um invasor sobrescreva ponteiros de função críticos e alcance a execução remota de código com privilégios de sistema, contornando efetivamente o sandbox e outras mitigações modernas. A falha pode ser acionada por binários Mach-O malformados ou conteúdos web e pré-visualizações de mensagens maliciosas, permitindo potencialmente a exploração zero-click. Este problema foi explorado ativamente em ataques sofisticados e altamente direcionados a indivíduos de alto valor.

Recommendations Atualize o iOS para a versão 19.4.1 ou 18.7.5 para dispositivos mais antigos. Atualize o iPadOS para a versão 19.4.1 ou 18.7.5 para dispositivos mais antigos. Atualize o macOS Sequoia para a versão 15.7.4. Atualize o visionOS para a versão 2.4.1. Atualize o watchOS para a versão 26.3. Atualize o tvOS para a versão 26.3. Ative o Modo de Bloqueio em Ajustes > Privacidade e Segurança para restringir conteúdos web complexos e pré-visualizações de mensagens. Redefina as configurações de rede após a atualização para limpar possíveis sequestros de DNS persistentes.