Apple corrige falha no iOS que preservava notificações apagadas no dispositivo

A vulnerabilidade CVE-2026-28950 afetava Notification Services e podia manter conteúdo de notificações marcado para exclusão, incluindo mensagens recebidas por aplicativos como Signal.

Componente	Notification Services no iOS e iPadOS, com retenção inesperada de notificações marcadas para exclusão no dispositivo.
Vetor	Conteúdo de notificações push recebidas podia permanecer no banco local de notificações mesmo após a exclusão esperada, com extração possível em cenário de acesso físico e análise forense do aparelho.
Impacto	Recuperação local de cópias de notificações que deveriam ter sido removidas, incluindo conteúdo de mensagens recebidas exibido em notificações.
Prioridade	Instalar iOS 26.4.2, iPadOS 26.4.2, iOS 18.7.8 ou iPadOS 18.7.8, conforme o dispositivo, e revisar exposição de conteúdo sensível em notificações.
Versões	Correção distribuída para aparelhos listados pela Apple nos ramos iOS 26.4.2 e iPadOS 26.4.2, além de iOS 18.7.8 e iPadOS 18.7.8.
Artefatos	CVE-2026-28950; tipo descrito como problema de registro corrigido com melhor redação de dados.

Resumo técnico

A Apple publicou correções para iOS e iPadOS para tratar a vulnerabilidade CVE-2026-28950, associada ao componente Notification Services. O defeito foi descrito como um problema de registro no qual notificações marcadas para exclusão podiam ser mantidas de forma inesperada no próprio dispositivo. A correção foi implementada com melhoria na redação de dados, isto é, no tratamento do conteúdo preservado em registros locais para evitar que informações que deveriam desaparecer continuassem disponíveis no armazenamento do sistema.

O caso ganhou relevância técnica porque cópias de mensagens recebidas pelo Signal foram recuperadas forensicamente de um iPhone relacionado a uma investigação do FBI, mesmo depois que o aplicativo havia sido removido. O ponto central não é uma quebra declarada da criptografia do Signal, mas a presença de conteúdo de mensagens no banco local usado para notificações push. Quando um aplicativo permite que o texto da mensagem apareça na notificação, esse conteúdo passa por camadas do sistema operacional que podem criar artefatos independentes do armazenamento principal do aplicativo.

Fluxo técnico

A falha envolve a diferença entre o ciclo de vida de uma mensagem dentro do aplicativo e o ciclo de vida de uma notificação no sistema operacional. Uma mensagem recebida pode chegar ao dispositivo e ser apresentada ao usuário por meio de uma notificação push. Se o conteúdo da mensagem é exibido nessa notificação, o sistema precisa processar metadados e texto suficientes para renderizar o alerta. O problema corrigido fazia com que notificações já marcadas para exclusão permanecessem retidas no dispositivo, criando uma cópia residual que podia sobreviver à expectativa normal de remoção.

O cenário descrito depende de acesso ao dispositivo e de capacidade de extração forense local. O material analisado não estabelece exploração remota, execução de código, comprometimento de contas, interceptação de tráfego ou falha criptográfica no protocolo de mensagens. O impacto confirmado está na persistência indevida de notificações e na possibilidade de recuperação do conteúdo preservado por ferramentas forenses. Isso limita a análise defensiva ao risco de artefatos locais, especialmente em aparelhos apreendidos, perdidos, compartilhados, inspecionados ou sujeitos a procedimentos de aquisição física ou lógica.

Superfície afetada

A superfície afetada é formada por dispositivos iPhone e iPad compatíveis com os ramos corrigidos de iOS e iPadOS. Para iOS 26.4.2 e iPadOS 26.4.2, o contexto lista iPhone 11 e posteriores, iPad Pro de 12,9 polegadas de 3ª geração e posteriores, iPad Pro de 11 polegadas de 1ª geração e posteriores, iPad Air de 3ª geração e posteriores, iPad de 8ª geração e posteriores, e iPad mini de 5ª geração e posteriores. Para iOS 18.7.8 e iPadOS 18.7.8, a lista inclui modelos como iPhone XR, iPhone XS, iPhone XS Max, linhas iPhone 11 a iPhone 16, iPhone 16e, iPhone SE de 2ª e 3ª geração, além de várias gerações de iPad mini, iPad, iPad Air e iPad Pro.

O risco prático aumenta quando aplicativos exibem conteúdo sensível diretamente nas notificações. O Signal é citado porque mensagens recebidas apareceram como cópias recuperáveis no banco de notificações push, mas a classe de exposição depende de qualquer aplicativo que envie conteúdo significativo para notificações do sistema. Se a configuração mostra apenas o remetente, ou não mostra nome nem mensagem, o artefato disponível para retenção local tende a conter menos conteúdo sensível. A correção da Apple remove notificações preservadas inadvertidamente após a instalação do patch e impede a preservação futura de notificações para aplicativos apagados, conforme descrito no contexto.

Não há indicação, no material recebido, de quais versões introduziram a falha nem de quantos dispositivos tiveram dados retidos antes da correção. Também não há base para afirmar que autoridades ou terceiros tenham usado o mesmo comportamento em outros casos. A leitura correta é tratar a vulnerabilidade como uma exposição local de artefatos de notificação, com prioridade maior para usuários que dependem de confidencialidade forte em comunicações móveis e para organizações que gerenciam dispositivos com dados regulados, jurídicos, investigativos, jornalísticos ou corporativos sensíveis.

• Notification Services em iOS e iPadOS com notificações marcadas para exclusão retidas no dispositivo.
• Aplicativos que exibem conteúdo de mensagens em notificações, com destaque para o fluxo observado envolvendo Signal.
• Dispositivos listados para correção nos ramos iOS 26.4.2, iPadOS 26.4.2, iOS 18.7.8 e iPadOS 18.7.8.

Hunting e telemetria

A detecção não deve ser tratada como hunting de rede ou de malware, porque o comportamento descrito ocorre no armazenamento local de notificações. Em ambientes corporativos, o primeiro controle verificável é inventário de versão: identificar iPhones e iPads que permanecem abaixo dos níveis corrigidos e cruzar essa informação com perfis de risco, como usuários com aplicativos de mensagens sensíveis, executivos, equipes jurídicas, jornalistas internos, pesquisadores, administradores de infraestrutura e operadores com acesso a dados confidenciais. A telemetria de MDM é o caminho mais adequado para confirmar versão de sistema, modelo do dispositivo e status de atualização.

Para resposta a incidente, o sinal mais importante é a possibilidade de conteúdo de notificações ter sido preservado antes da atualização. Como o contexto não fornece nomes de arquivos, tabelas internas, caminhos de banco de dados ou comandos forenses, não é adequado inventar artefatos específicos. A análise defensiva deve se concentrar em registros de inventário, políticas de notificação, eventos de perda ou apreensão de dispositivo, remoção de aplicativos sensíveis e histórico de atualização. Se um aparelho esteve fora de controle físico antes do patch, a avaliação deve considerar que notificações antigas podem ter sido recuperáveis por uma análise local especializada.

Também é necessário diferenciar ausência de evidência de ausência de risco. Um administrador pode confirmar que o patch foi aplicado, mas isso não prova automaticamente que nenhum conteúdo foi retido antes da instalação. Da mesma forma, a exclusão de um aplicativo não deve ser interpretada como eliminação completa de todos os artefatos de notificações que passaram pelo sistema operacional antes da correção. Em investigações internas, essa distinção evita conclusões excessivas e mantém o escopo alinhado ao que a vulnerabilidade realmente permite: recuperação local de notificações preservadas indevidamente.

• Dispositivos iOS ou iPadOS sem iOS 26.4.2, iPadOS 26.4.2, iOS 18.7.8 ou iPadOS 18.7.8, conforme o modelo aplicável.
• Políticas de MDM que permitem visualização de conteúdo completo de mensagens em notificações na tela bloqueada ou no centro de notificações.
• Eventos de perda, apreensão, manutenção, descarte ou análise forense de aparelhos antes da instalação da correção.
• Usuários de aplicativos de mensagens configurados para mostrar texto completo de mensagens recebidas em notificações.

Mitigação

A mitigação principal é aplicar as versões corrigidas publicadas pela Apple. Organizações devem priorizar aparelhos compatíveis com os ramos iOS 26.4.2, iPadOS 26.4.2, iOS 18.7.8 e iPadOS 18.7.8, verificando por MDM quais dispositivos ainda não receberam a atualização. A instalação do patch é relevante não apenas para bloquear novas retenções indevidas, mas também porque a correção remove notificações preservadas inadvertidamente no cenário descrito. Em usuários sem gerenciamento corporativo, a orientação prática é atualizar o sistema operacional diretamente pelos mecanismos normais de atualização do dispositivo.

A segunda camada de mitigação é reduzir o conteúdo exposto em notificações. No Signal, o usuário pode abrir o perfil, acessar Notifications, entrar em Show e selecionar Name only ou No name or message. A primeira opção reduz o conteúdo exibido ao nome; a segunda remove nome e mensagem da notificação. Essa configuração não substitui o patch do sistema, mas diminui a quantidade de informação sensível que passa pela renderização de notificações. O mesmo princípio deve ser aplicado a outros aplicativos: quando a confidencialidade da conversa importa, notificações devem revelar o mínimo possível.

Equipes de segurança devem transformar o caso em revisão de política móvel. O inventário de dispositivos precisa registrar versão, modelo e status de atualização; a configuração de notificações deve ser compatível com o risco do usuário; e procedimentos de desligamento, troca, descarte ou investigação de aparelhos devem assumir que artefatos locais podem sobreviver a ações visíveis no aplicativo. Para usuários de alto risco, a combinação recomendada é manter o sistema atualizado, limitar conteúdo em notificações, reduzir notificações desnecessárias e tratar perda de controle físico do aparelho como evento relevante de segurança.

• Atualizar dispositivos elegíveis para iOS 26.4.2, iPadOS 26.4.2, iOS 18.7.8 ou iPadOS 18.7.8.
• No Signal, configurar Notifications > Show como Name only ou No name or message quando o conteúdo das mensagens não deve aparecer em alertas.
• Usar MDM para identificar aparelhos sem correção e priorizar usuários com maior sensibilidade de comunicação.
• Revisar políticas de notificação para aplicativos que exibem mensagens, remetentes, códigos, alertas internos ou outros dados sensíveis.
• Considerar acesso físico não autorizado, perda, apreensão ou análise forense como condição suficiente para avaliar exposição de artefatos locais anteriores ao patch.