O pesquisador de segurança brasileiro Guilherme Rambo descobriu uma falha grave no iOS que permitia travar completamente um iPhone usando apenas uma linha de código. A vulnerabilidade estava no sistema de notificações Darwin, um mecanismo interno que a Apple usa para comunicação entre diferentes partes do sistema.
O problema é que essas notificações não exigiam nenhum tipo de permissão especial e também não verificavam quem estava enviando a mensagem. Isso abria espaço para que qualquer aplicativo ou processo malicioso pudesse bagunçar o sistema.
Posts relacionados
- Apple corrige brecha zero-day que permitia acesso a dados de aparelhos
- Shazam, app da Apple, está com problemas e não abre em iPhones
- Usuários relatam problemas envolvendo o Bluetooth no iPhone 16e
Para demonstrar como a falha poderia ser explorada, Rambo criou um app chamado EvilNotify, capaz de causar vários problemas no iPhone, como:
- Fazer aparecer alertas falsos, como o aviso de “líquido detectado” na porta de carregamento;
- Bloquear gestos importantes do sistema, como aqueles para abrir a Central de Controle e a Central de Notificações;
- Forçar o aparelho a desconectar do Wi-Fi e usar dados móveis;
- Travar a tela;
- Colocar o iPhone em um estado de “restauração em andamento”, do qual só era possível sair reiniciando o aparelho.
No caso do último problema acima, mesmo depois de reiniciar o dispositivo, o problema poderia voltar, criando um ciclo infinito de travamentos. Para piorar ainda mais, Rambo criou também uma extensão de widget, chamada VeryEvilNotify, que rodava automaticamente após o iPhone ser reiniciado. Com isso, o celular entrava em um estado de “soft-brick”, de modo que a única saída era apagar tudo e restaurar o backup.
O pesquisador reportou a falha para a Apple no dia 26 de junho de 2024. A empresa corrigiu o problema em atualizações posteriores, mudando o sistema para exigir permissões específicas para envio de notificações mais sensíveis.
A vulnerabilidade foi corrigida oficialmente no iOS 18.3 e Rambo recebeu uma recompensa de US$17,5 mil pelo trabalho. O caso foi registrado sob o código CVE-2025-24091.
