CVE-2025-43529

Use-after-free no WebKit (motor de renderização usado pelo Safari e por todos os apps que exibem conteúdo web em iOS, iPadOS, macOS, tvOS, visionOS e watchOS) que permite execução arbitrária de código ao processar conteúdo web malicioso. A Apple confirma exploração real em um ataque descrito como 'extremamente sofisticado' contra indivíduos específicos, em versões de iOS anteriores à 26 — não é uma falha genérica de massa, mas está na cadeia usada por spyware comercial/estatal contra alvos de alto perfil.

A falha é um use-after-free (CWE-416) no WebKit, reportada via WebKit Bugzilla #302502. O padrão típico dessa classe de bug: um objeto do DOM ou uma estrutura interna do motor de layout/JS é liberado da memória enquanto uma referência a ele ainda está em uso em outro ponto do código de renderização, permitindo que um atacante controle o conteúdo realocado nesse espaço de memória e sequestre o fluxo de execução. A Apple não detalhou o componente exato dentro do WebKit (parser, engine de JS, layout ou media), apenas que a correção foi 'melhoria no gerenciamento de memória'.

O atacante controla o conteúdo da página web (HTML/CSS/JS ou mídia embutida) processado pelo WebKit — o vetor de entrada é qualquer superfície que renderize conteúdo web arbitrário: Safari, WebViews de apps de terceiros, Mail (que renderiza HTML), Messages com preview de links, etc.

Essa CVE está vinculada à CVE-2025-14174, emitida em resposta ao mesmo relatório de exploração: a Apple descreve a 43529 como use-after-free e a 14174 como um problema de corrupção de memória por validação, ambas atribuídas ao Google Threat Analysis Group e tratadas como partes da mesma cadeia de exploração observada em campo.

O vetor é conteúdo web malicioso processado pelo WebKit — na prática, a vítima precisa abrir uma URL ou visualizar conteúdo (documento, link, preview) que aciona o motor de renderização. O CVSS vetor AV:N/AC:L/PR:N/UI:R confirma: ataque remoto pela rede, sem privilégios, mas com interação do usuário necessária (abrir o link/página), o que é consistente com ataques de engenharia social direcionada ou entrega via one-click/zero-click em canais como iMessage.

A Apple afirma que a exploração observada foi 'extremamente sofisticada' e voltada a 'indivíduos específicos alvo' — linguagem que a empresa reserva para campanhas de spyware mercenário (perfil semelhante a casos anteriores documentados contra jornalistas, ativistas e diplomatas), não para exploração oportunista em massa. A exploração confirmada ocorreu em versões de iOS anteriores à iOS 26, e a CVE está no catálogo KEV da CISA, o que obriga órgãos federais dos EUA a aplicar a correção dentro do prazo definido pela agência.

O resultado final, segundo a Apple, é execução arbitrária de código no contexto do processo que renderiza o conteúdo web — normalmente o primeiro estágio de uma cadeia de exploração maior (sandbox escape + elevação de privilégio) usada para implantar spyware persistente, já que WebKit roda sandboxed.

Atualizar para as versões corrigidas: Safari 26.2, iOS 18.7.3/iPadOS 18.7.3 (ramo legado), iOS 26.2/iPadOS 26.2, macOS Tahoe 26.2, tvOS 26.2, visionOS 26.2, watchOS 26.2, todas lançadas em 12/12/2025. Não há patch parcial ou flag de configuração que neutralize especificamente essa CVE sem atualizar o WebKit.

Para quem não pode atualizar imediatamente e tem perfil de risco elevado (jornalistas, ativistas, dissidentes, executivos-alvo), o Lockdown Mode da Apple (disponível em iOS/iPadOS/macOS) reduz a superfície de ataque do WebKit ao desabilitar tecnologias web complexas (certas APIs de JS, fontes web, pré-visualização de links, tipos de anexo), mas isso degrada funcionalidade de navegação e não é substituto da atualização — é um paliativo para cenários de ameaça elevada, não um controle de uso geral.

Mito a descartar: como o vetor é WebKit, restringir apenas o app Safari não mitiga — qualquer app com WebView embutido (navegadores de terceiros no iOS, que são obrigados a usar WebKit, apps de mensageria com preview, leitores de e-mail) herda a mesma vulnerabilidade até a atualização do sistema.

Não há assinatura de rede ou padrão de log confiável divulgado publicamente para essa CVE — a exploração foi identificada pelo Google Threat Analysis Group através de investigação de campanha direcionada, não por telemetria genérica de endpoint. Indicadores de comprometimento associados a essa campanha específica de spyware não foram publicados nos advisories da Apple; organizações que atendem population de risco alto (defesa de direitos humanos, jornalismo, diplomacia) devem monitorar por meio de ferramentas forenses móveis dedicadas (análise de backup/sysdiagnose) em vez de depender de logs padrão do dispositivo.