A Apple emitiu uma atualização de segurança crítica para iPhones para corrigir uma falha zero-day no iOS 16 que poderia permitir que invasores instalassem spyware remotamente em um dispositivo sem qualquer interação do proprietário do iPhone. O Citizen Lab, um grupo de pesquisa em spyware, descobriu o exploit na semana passada e imediatamente notificou a Apple.

O exploit zero-click zero-day foi usado para instalar o spyware Pegasus do NGO Group em um iPhone pertencente a um funcionário de uma organização da sociedade civil sediada em Washington DC. O Pegasus é um spyware desenvolvido por um contratante privado para uso por agências governamentais. O spyware infecta um telefone e envia dados de volta, incluindo fotos, mensagens e gravações de áudio/vídeo.

O exploit envolve anexos do PassKit enviados via iMessage.

A Apple agora lançou o iOS 16.6.1 apenas dias após a descoberta desse exploit e é crucial que os proprietários de iPhones instalem essa atualização, mesmo que não sejam susceptíveis de serem alvos de spyware. Ainda há muitos grupos dispostos a engenharia reversa nas atualizações de segurança do iOS para tentar descobrir como explorar essa nova vulnerabilidade, aumentando o risco de ataques mais amplos.

O Citizen Lab não forneceu uma descrição completa da vulnerabilidade por motivos óbvios, mas o exploit envolve o PassKit - o framework por trás do Apple Pay e Wallet - anexos que são carregados com imagens maliciosas enviadas via iMessage. "Esperamos publicar uma discussão mais detalhada da cadeia de exploit no futuro", diz o Citizen Lab.

As vulnerabilidades do iOS têm sido frequentemente notícia nos últimos anos, especialmente aquelas que foram ativamente exploradas antes que a Apple tivesse conhecimento da falha de segurança. A Apple até desenvolveu um sistema de Resposta Rápida de Segurança que pode adicionar correções de segurança a um iPhone sem precisar reiniciar o dispositivo.