Georgy Kucherin

Um ataque de cadeia de suprimentos comprometeu pacotes de instalação oficiais distribuídos através do site legítimo daemon-tools.cc entre 8 de abril de 2026 e 5 de maio de 2026. Atacantes acessaram a infraestrutura de compilação ou distribuição do fornecedor, AVB Disc Soft, para trojanizar três binários: `DTHelper.exe`, `DiscSoftBusServiceLite.exe` e `DTShellHlp.exe`. Como esses arquivos foram assinados com um certificado de assinatura de código legítimo, eles conseguiram burlar a detecção baseada em assinaturas. Este problema envolve capacidades não declaradas perigosas que podem permitir que um invasor remoto ignore as restrições de segurança existentes.

Existe um problema onde um aplicativo pode ser capaz de modificar o estado sensível do kernel devido a uma operação de memória fora dos limites. A falha envolve o uso de registros MMIO (Memory-Mapped I/O) não documentados em SoCs da Apple, o que permite que invasores ignorem as proteções de segurança de hardware e manipulem a memória protegida do kernel para obter controle total do dispositivo. Este problema fez parte de uma campanha conhecida como Operation Triangulation, na qual invasores podiam enviar um anexo de iMessage malicioso para comprometer um dispositivo sem qualquer interação do usuário. Existem relatos de que este problema foi explorado ativamente em versões do iOS lançadas antes do iOS 15.7.1.

Ocorre um estouro de inteiro devido à validação de entrada insuficiente, o que pode permitir que um aplicativo execute código arbitrário com privilégios de kernel. Um estouro de inteiro (integer overflow) é uma condição em que uma operação aritmética tenta criar um valor numérico que está fora do intervalo que pode ser representado com um determinado número de bits. Foi relatado que este problema foi explorado ativamente em versões do iOS lançadas antes do iOS 15.7. Em incidentes reais, esta falha foi utilizada como parte de uma campanha sofisticada de spyware para obter privilégios de root em dispositivos alvo, permitindo a implantação de um backdoor para roubo de dados do keychain do iCloud, gravação de áudio do microfone e rastreamento de localização.

This vulnerability is a memory corruption issue within WebKit, potentially allowing arbitrary code execution. The issue stems from improved state management and has been reported as actively exploited in the wild against iOS versions released before iOS 15.7. The vulnerability affects multiple Apple products, including Safari, iOS, and iPadOS, as well as WebKitGTK. The root cause involves a memory corruption issue within WASM due to allowing moving of not fitting offsets into instruction.

The issue is related to the processing of font files, which may lead to arbitrary code execution. Apple is aware of a report that this issue may have been actively exploited against versions of iOS released before iOS 15.7.1. The vulnerability is associated with a buffer overflow in the FontParser component of Apple's operating systems. It is estimated that a large number of devices may be affected, but the exact number is not specified. The issue was addressed with improved handling of caches.