worse_query deixa apps do iOS lerem arquivos de outros apps, e nenhuma correção da Apple está listada

Um zero-day no isolamento de contêineres do iOS

Uma vulnerabilidade zero-day no iOS chamada worse_query permite que apps maliciosos leiam arquivos pertencentes a outros apps. O pesquisador de segurança forcequitOS publicou uma prova de conceito funcional no GitHub em 8 de novembro de 2026. A falha foi descrita como sucessora de um exploit anterior, o bad_query.

O iOS normalmente mantém cada app em um sandbox isolado. O worse_query abusa de uma interface de consulta no gerenciador de contêineres por meio de links simbólicos dentro de um contêiner de grupo de apps. Isso permite que um app malicioso leia, modifique ou apague bancos de dados, documentos, caches e arquivos de configuração de outros apps sem jailbreak ou exploit de kernel, segundo análise da empresa de segurança Ostorlab.

Alerta da Binance, correção limitada

A Binance emitiu um alerta no X em 10 de novembro de 2026. Afirmou que o problema afeta o iOS no nível do sistema, incluindo as versões 26.7.1, 27.0.1 e 27.2. Acrescentou: «Este é um problema no nível do iOS, não exclusivo da Binance.» A exchange orientou os usuários a apagar apps instalados de fontes não confiáveis e a atualizar o iOS para a versão oficial mais recente.

A Apple lançou o iOS 27.2.1 e o iOS 26.7.3 em 9 de novembro de 2026. Suas notas de segurança não mencionam uma correção para fugas de sandbox e não atribuem identificador CVE ao worse_query. A Ostorlab disse que a lacuna continua aberta, sem correção confirmada pelo fabricante. Como nenhum CVE foi atribuído, a falha não estava no catálogo de Vulnerabilidades Exploradas Conhecidas da CISA em 10 de novembro de 2026.

O risco para carteiras é condicional

Segundo o chefe de segurança da informação da SlowMist, conhecido como 23pds, a falha não rouba fundos por si só. Um roubo exigiria duas condições ao mesmo tempo: o usuário instala e executa um app malicioso de fora da App Store, e a carteira afetada armazena frases-semente, arquivos keystore ou caches de WebView em texto simples em uma pasta acessível localmente.

Ferramentas derivadas do exploit, divulgadas publicamente como WQ Files, já conseguem ler, modificar e apagar arquivos de terceiros. Nenhum roubo de criptomoedas confirmado por meio do worse_query havia sido relatado até a publicação do relatório. A SlowMist recomendou não instalar IPAs por sideload, manter o iOS atualizado, guardar dados sensíveis apenas em formato criptografado e mover os ativos para uma nova carteira criada em um dispositivo limpo caso um app não confiável tenha sido instalado.

A Apple não havia publicado um aviso nem uma versão corrigida para o worse_query, disse a Ostorlab. O exploit continua ativo, com código público disponível.