Outras aplicações do Mac podiam ver os seus separadores partilhados do Safari
Até ao final de julho, qualquer aplicação no seu Mac podia acompanhar em tempo real os seus grupos de separadores partilhados do Safari: sem pedir autorização, sem aviso do sistema e sem deixar rasto nas definições de privacidade. A Apple corrigiu a falha a 27 de julho no Safari 26.6 e no macOS Tahoe 26.6, e a Positive Technologies descreveu-a publicamente a 17 de agosto. É uma história pequena com uma lição útil, e vale dois minutos da sua noite para confirmar que a correção já está instalada.
O que é um grupo de separadores partilhado
Um grupo de separadores é um conjunto de separadores com nome, e o Safari permite partilhá-lo com outras pessoas. Todos veem a mesma lista, que se atualiza em direto: abre uma página nesse grupo e segundos depois ela aparece no ecrã da outra pessoa. A funcionalidade é mesmo prática para planear uma viagem, comparar preços a dois ou percorrer ligações com um colega, e é por isso que o conteúdo desses grupos costuma ser pessoal.
O que escapava era precisamente essa sincronização ao vivo. A vulnerabilidade, identificada como CVE-2026-43792 com pontuação de 6,5, estava no mecanismo de autorização do Safari: uma aplicação instalada no mesmo Mac podia subscrever as alterações dos grupos partilhados e vê-las chegar, sem que o sistema lhe perguntasse uma única vez se essa aplicação podia mexer nos dados do Safari.
O que outra aplicação conseguia ver e o que não
O alcance importa e é mais estreito do que o título sugere. O que saía era o fluxo de alterações nos grupos de separadores partilhados, ou seja, os endereços que aparecem nos grupos que partilha com alguém. O histórico completo, as palavras-passe guardadas, os dados de formulários e as janelas privadas não faziam parte disto. A Apple descreve o impacto com a fórmula do costume: uma aplicação podia aceder a dados sensíveis do utilizador, corrigido com melhor gestão de estado.
O que torna o caso interessante é a pergunta que não foi feita. No macOS habituaram-no a esperar uma caixa de diálogo: uma aplicação quer os seus ficheiros, a câmara, o ecrã, os contactos. Esse pedido é toda a promessa do modelo de permissões. Aqui não houve pedido, porque a verificação que devia gerá-lo não estava a ser feita. Um programa instalado para algo completamente diferente podia ficar quieto a ler o que você e a outra pessoa abriam.
A segunda falha: identificadores ligados à conta Apple
O mesmo investigador, referido pela Apple como Ilya Andr (andrd3v) e indicado na entrada do Game Center como sendo da Positive Technologies, reportou um segundo problema na mesma ronda de julho. Identificada como CVE-2026-43796 com pontuação de 5,5, permitia a uma aplicação obter identificadores associados à sua conta Apple. Dito assim soa abstrato, mas é a matéria-prima do rastreio entre aplicações: dois programas de programadores diferentes podem cruzar dados e concluir que têm à frente a mesma pessoa, que é justamente o que as regras de rastreio da Apple deviam impedir. Essa foi corrigida de uma vez em toda a gama, incluindo iOS e iPadOS 26.6, macOS Sequoia 15.7.8 e macOS Sonoma 14.8.8.
Verifique em dois minutos
- Abra o menu Apple, Definições do Sistema, Geral, Atualização de Software. No Tahoe precisa da 26.6 ou mais recente, e a 26.6.1 também serve. Se a atualização já está à espera, é boa razão para a instalar agora e não no fim de semana.
- Se ficou no Sonoma ou no Sequoia, a correção chega à parte, como Safari 26.6. Abra o Safari, o menu Safari e "Acerca do Safari", e compare o número. Se for inferior, a atualização está nesse mesmo ecrã do sistema.
- No iPhone e no iPad: Definições, Geral, Atualização de Software; a versão 26.6 ou mais recente cobre a questão dos identificadores da conta.
- Já que está no Safari, abra a barra lateral e olhe para os grupos de separadores. Os partilhados têm um ícone de participantes. Clique nele e leia a lista de pessoas: os grupos partilhados costumam sobreviver à viagem ou ao projeto para que foram criados.
- Retire quem já não tem nada a fazer ali, ou deixe de partilhar o grupo por completo. Tudo o que abre num grupo partilhado é visto por todos os participantes: é a funcionalidade a trabalhar como foi desenhada, e é a parte de que as pessoas se esquecem.
O que isto não significa. Ninguém andava a ler os seus separadores do banco: as janelas privadas e a navegação normal não entravam aqui. Não há provas públicas de que a falha tenha sido usada contra alguém antes da correção. E nem uma VPN nem a navegação privada teriam mudado alguma coisa, porque os dados eram recolhidos localmente, no próprio Mac, e não da sua ligação.
Porque é que uma falha pequena vale na mesma a sua noite
A mesma atualização do macOS fechou 153 vulnerabilidades de uma só vez. A maioria nunca lhe vai tocar, e algumas explicam exatamente porque é que uma atualização não deve ficar um mês por instalar. Uma verificação de autorização em falta não é um drama por si só, mas é precisamente a fenda que separa um sistema que pergunta antes de uma aplicação tocar nos seus dados de outro que apenas o aparenta.
A versão prática é curta: mantenha o computador numa versão suportada, instale as atualizações de segurança quando saem e não quando calha, e de vez em quando veja quem continua dentro daquilo que partilhou.
