macOS Tahoe 26.6.2: 28 CVEs, e Quem Realmente os Encontrou

Em 17 de agosto de 2026 a Apple lançou o macOS Tahoe 26.6.2, build 25G83. No mesmo dia lançou o Release Candidate do macOS Tahoe 26.7. No dia seguinte, lançou o Safari 26.6.1 para Sonoma e Sequoia. Três lançamentos de segurança em quarenta e oito horas, em dois branches diferentes, sem nenhuma novidade de recursos em nenhum deles.

Se você acompanhou a cobertura daquela semana, viu números completamente diferentes: 20 vulnerabilidades, 22, 28, 13. Nenhum desses veículos estava errado. Estavam contando coisas diferentes, e a diferença revela algo útil sobre como a Apple publica informações de segurança.

Há também algo nesse lançamento que nunca havia aparecido em um documento de segurança do macOS nessa escala: nove dos vinte e oito identificadores CVE são creditados a "OpenAI Codex Security", um único esforço de pesquisa nomeado que usa um modelo de codificação de IA para encontrar bugs de segurança de memória no WebKit. Isso é aproximadamente um terço do lançamento, e representa quase metade de todas as correções do WebKit que a Apple entregou.

Principais Pontos

• O macOS Tahoe 26.6.2 (build 25G83, 17 de agosto de 2026) fecha 28 identificadores CVE distintos em 20 entradas. O download tem cerca de 2,9 GB em Macs com Apple silicon. Não há atualização de sistema correspondente para Sequoia ou Sonoma.
• A própria Apple declara em suas notas de lançamento que essa atualização "entrega correções de segurança que ficaram disponíveis pela primeira vez no beta do macOS Golden Gate 27". Isso é um backport, não um lançamento de ponto normal, o que explica por que ele existe ao lado de um Release Candidate do 26.7.
• Nove CVEs são creditados a "OpenAI Codex Security — Amy Burnett". Todos os nove são problemas de segurança de memória no WebKit. Um décimo crédito vai para "TrendAI Zero Day Initiative".
• O Safari 26.6.1 para Sonoma e Sequoia contém exatamente o subconjunto do WebKit desta atualização — 21 CVEs, todos os quais também aparecem no 26.6.2, e nenhum que não apareça. Conferimos cada identificador.
• Sete CVEs do 26.6.2 não têm equivalente em nenhum outro lugar: três de Kernel, dois de ImageIO, um de Audio, um de IOGPUFamily. A Apple não publicou correção para eles no Sonoma ou no Sequoia, e não disse se esses sistemas são afetados.
• O 26.7 ainda é apenas um Release Candidate. No momento em que este texto foi escrito, o lançamento atual do macOS é o 26.6.2, e se você estiver inscrito em um canal beta pode estar vendo uma atualização diferente da de todo mundo.

O Que a Apple Realmente Lançou

Vamos começar pelos fatos que não estão em disputa, porque vêm diretamente da Apple.

Da página de lançamentos para desenvolvedores da Apple: macOS 26.6.2 (25G83), datado de 17 de agosto de 2026. Do índice de lançamentos de segurança da Apple, o macOS Tahoe 26.6.2 aparece como disponível para o macOS Tahoe, lançado em 17 de agosto de 2026, e — no momento em que este texto foi escrito — a própria nota da Apple naquela página diz "A versão mais recente do macOS é a 26.6.2."

O documento de segurança em si abre com uma frase que vale a pena ler duas vezes:

"Esta atualização entrega correções de segurança que ficaram disponíveis pela primeira vez no beta do macOS Golden Gate 27."

Essa não é a fraseologia usual. Um lançamento de ponto normal do Tahoe corrige bugs encontrados no próprio Tahoe. Este traz de volta correções que a Apple já havia feito no beta do macOS 27 para o sistema operacional em produção. Isso explica perfeitamente o momento: a atenção de engenharia da Apple já migrou para o macOS 27, as correções já estavam escritas, e em vez de segurá-las até o 26.7 ou até o lançamento do macOS 27 no outono (no hemisfério norte), a Apple lançou um backport.

Howard Oakley, da The Eclectic Light Company, que desmonta cada lançamento em detalhes, relatou em 17 de agosto que o download em Apple silicon tem cerca de 2,9 GB, que o firmware avança para mBoot 18000.161.10 em Apple silicon e 2103.160.2.0.0 em Intel, que o Safari incluído avança para 26.6.2 (21624.5.1.11.3), e que o único outro app incluído com um novo número de versão é o Passwords, que vai de 2.6 para 2.6.2. Ele também observou pouquíssimas mudanças em /System/Library, entre elas as extensões de kernel AppleH13CameraInterface e AppleH16CameraInterface, a extensão de kernel AppleMatch, e alguns frameworks privados, incluindo CryptexKit, CryptexServer e SafariSafeBrowsing.

Esse último detalhe importa mais do que parece. Um lançamento que praticamente não toca em nada em /System/Library, mas atualiza o Safari e a stack do WebKit é, estruturalmente, um lançamento de segurança do motor de navegador vestido de atualização de sistema operacional.

Por Que Todo Mundo Reportou um Número Diferente

Aqui está a discrepância que confundiu a cobertura, e a explicação é simples assim que você a enxerga.

Os documentos de segurança da Apple são organizados em entradas, não em CVEs. Cada entrada tem um nome de componente, uma linha "Disponível para", uma linha "Impacto", uma linha "Descrição" e, então, um ou mais identificadores CVE com créditos. A maioria das entradas carrega exatamente um CVE. Algumas carregam dois ou três, porque a Apple agrupou vários bugs com o mesmo impacto e a mesma descrição de correção em uma única entrada.

Contando a página do macOS Tahoe 26.6.2 como ela estava em 22 de agosto de 2026:

Medida	Contagem
Entradas (blocos de componente)	20
Identificadores CVE distintos	28

Ambos os números estão corretos. Oakley relatou 20 porque contou entradas. Veículos que relataram 28 contaram identificadores CVE. Nenhum deles estava inflando uma manchete.

O mesmo acontece com o documento do Safari. O Safari 26.6.1 tem 13 entradas e 21 identificadores CVE distintos. Oakley relatou 13. Pelo menos um veículo relatou 22, que é um a mais do que nossa contagem; a Apple ocasionalmente revisa essas páginas depois da publicação, e o próprio post de Oakley traz um carimbo "Atualizado às 06h50 GMT de 18 de agosto de 2026", então uma página que cresceu uma entrada entre a publicação e a leitura explicaria isso. Estamos relatando nossa própria contagem, feita em 22 de agosto, e estamos informando o método para que você possa repeti-lo.

A lição prática: quando um artigo de segurança te dá um único número sem método, você não consegue saber se ele se refere a entradas ou a CVEs, e os dois diferem em 40% neste lançamento. Pergunte qual dos dois é.

O Detalhamento por Componente

Das 20 entradas no macOS Tahoe 26.6.2:

Componente	Entradas
WebKit	11
Kernel	3
ImageIO	2
Audio	1
IOGPUFamily	1
WebKit History	1
WebKit Storage	1

Treze das vinte entradas estão na família WebKit. Esse é o formato de um lançamento de motor de navegador. As outras sete são as que vale a pena ler com atenção, e voltaremos a elas.

A Linha de Crédito de IA

Esta é a parte do lançamento que é genuinamente nova, e ela está bem visível nas linhas de crédito da Apple.

Nove identificadores CVE no macOS Tahoe 26.6.2 carregam o crédito "OpenAI Codex Security - Amy Burnett":

• CVE-2026-64780
• CVE-2026-64784 (crédito compartilhado com Janggoon Lee, da Out of Bounds)
• CVE-2026-65331
• CVE-2026-65332
• CVE-2026-65333
• CVE-2026-65334
• CVE-2026-65335
• CVE-2026-65337
• CVE-2026-65338

Todos eles estão no WebKit. Suas linhas de impacto são o conjunto clássico de motor de navegador: "O processamento de conteúdo web maliciosamente criado pode levar a uma falha inesperada do Safari", "…pode levar à corrupção de memória", "…pode levar a uma falha inesperada de processo". Suas descrições são as correções clássicas: tratamento de memória aprimorado, verificação de limites aprimorada, gerenciamento de estado aprimorado, bloqueio aprimorado.

Um décimo crédito adjacente a IA está no mesmo documento: CVE-2026-64715 é creditado a "Hossein Lotfi (@hosselot), da TrendAI Zero Day Initiative" — o programa ZDI de longa data sob sua marca atual.

O Que Isso Significa e o Que Não Significa

É fácil interpretar demais essa informação, então vamos ser precisos sobre o que a linha de crédito sustenta.

O que ela sustenta: um esforço de segurança nomeado, explicitamente construído em torno de um modelo de codificação de IA, produziu nove descobertas aceitas, corrigidas e com CVE atribuído em um único ciclo de lançamento do WebKit. Isso é aproximadamente 32% dos CVEs desta atualização do macOS e cerca de 43% dos CVEs da família WebKit. São números reais e contados, extraídos da própria página da Apple.

O que ela não sustenta: qualquer afirmação sobre como esses bugs foram encontrados. A linha de crédito da Apple é um nome, não uma declaração de metodologia. Ela não diz que o modelo encontrou os bugs de forma autônoma, não diz se um humano triou ou reduziu os casos de teste, e não diz qual fração das submissões foi rejeitada. Todas essas perguntas ficam sem resposta no registro público, e quem disser o contrário está inferindo.

Também não significa que o WebKit ficou subitamente mais inseguro. Fazer fuzzing em motores de navegador em busca de bugs de segurança de memória tem sido uma atividade produtiva há mais de uma década, e a razão pela qual essas descobertas parecem um agrupamento é que motores de navegador são a maior superfície de ataque do sistema operacional e a mais fácil de submeter a fuzzing em escala. O que mudou é quem está fazendo o fuzzing e a que custo.

A cobertura do 9to5Mac sobre o Release Candidate do 26.7 fez a mesma observação por outro ângulo, notando que "a Apple vem acelerando seu ciclo de lançamento do macOS para tratar vulnerabilidades descobertas com a ajuda de ferramentas de IA". Nossa contagem é a versão concreta dessa afirmação.

Se você quer o contexto mais amplo sobre como a Apple entrega essas correções entre atualizações completas, nosso guia sobre Melhorias de Segurança em Segundo Plano no macOS Tahoe explica o mecanismo de entrega que está por trás de tudo isso.

As Sete Correções Que Só o Tahoe Recebeu

Retire todas as entradas da família WebKit e sobram sete CVEs. Essas são as que descrevem o sistema operacional em vez do navegador, e são a razão pela qual isso é uma atualização de sistema, não uma atualização do Safari.

Kernel

CVE-2026-65343 — Impacto: "Um invasor remoto pode conseguir causar o encerramento inesperado do sistema." Descrição: "Um problema de uso após liberação (use after free) foi resolvido com gerenciamento de memória aprimorado." Creditado a Drinor Selmanaj (Sentry) e Surya Narayan Kushwaha.

Leia essa linha de impacto com atenção. Invasor remoto. Encerramento inesperado do sistema. Isso é uma falha de kernel disparável remotamente — uma negação de serviço contra um Mac vinda da rede. A Apple não diz se é necessário que o invasor esteja na mesma rede, se algum serviço precisa estar habilitado, ou se o use-after-free é explorável além de uma falha. Como sempre com um use-after-free, "encerramento inesperado do sistema" é o impacto que a Apple está disposta a declarar, não necessariamente o teto real.

CVE-2026-65349 — Impacto: "Um app pode conseguir causar o encerramento inesperado do sistema ou ler memória do kernel." Descrição: "Uma leitura fora dos limites foi resolvida com validação de entrada aprimorada." Creditado a um pesquisador anônimo.

CVE-2026-65330 — Impacto: "Um app pode conseguir causar o encerramento inesperado do sistema ou corromper memória do kernel." Descrição: "O problema foi resolvido com tratamento de memória aprimorado." Creditado a Bhaswanth Chigurupati, Billy Jheng Bing Jhong e Pan Zhenpeng (@Peterpan0927), da STAR Labs SG Pte. Ltd.

A última é a entrada com a aparência mais séria do lançamento. "Corromper memória do kernel" a partir de um app é a primitiva sobre a qual escapes de sandbox e escaladas de privilégio são construídos. Ainda assim, requer que um invasor já consiga executar código no seu Mac primeiro, e é exatamente por isso que as técnicas de entrega de malware que cobrimos em por que seu Mac bloqueou uma colagem no Terminal importam: o primeiro estágio é a parte difícil, e o bug de kernel é o que transforma um ponto de apoio em controle.

ImageIO

CVE-2026-65346 — Impacto: "Processar uma imagem pode levar à execução arbitrária de código." Descrição: "Um estouro de inteiro (integer overflow) foi resolvido com validação de entrada aprimorada." Creditado à Meta Red Team X — Nik Tsytsarkin.

CVE-2026-65347 — Impacto: "Processar uma imagem pode levar a uma negação de serviço." Descrição: "O problema foi resolvido com verificações aprimoradas." Creditado a Geonha Lee (@leegn4a).

ImageIO é o framework que decodifica arquivos de imagem em qualquer lugar do macOS — prévias do Finder, Quick Look, anexos do Messages, Mail, Safari, Notes. "Processar uma imagem pode levar à execução arbitrária de código" é o formato clássico de um bug zero-click, porque em um Mac você frequentemente "processa" uma imagem simplesmente ao recebê-la e deixar que uma miniatura seja renderizada. Não há indicação de que este tenha sido explorado, e a Apple não nomeia nenhuma exploração. Mas, de tudo neste lançamento, um bug de execução de código no ImageIO é a entrada que mais justifica não esperar quinze dias para instalar.

Audio

CVE-2026-65339 — Impacto: "Um app pode conseguir vazar informações sensíveis do usuário." Descrição: "Um problema de lógica foi resolvido com verificações aprimoradas." Creditado à Meta Red Team X — Nik Tsytsarkin.

IOGPUFamily

CVE-2026-64788 — Impacto: "Processar conteúdo web maliciosamente criado pode levar à corrupção de memória." Descrição: "O problema foi resolvido com tratamento de memória aprimorado." Creditado a f00l (@PPPF00L), 3ndy1 (@_3ndy1), Minghao Lin@Y1nkoc e 云散花折, e Arjanit Isufi.

Esta é um híbrido, e é a razão pela qual um patch exclusivo do navegador não é suficiente. O gatilho é conteúdo web, mas o código vulnerável é o driver de kernel da GPU, alcançado através de caminhos de renderização baseados em WebGL e Metal. Atualizar apenas o Safari não corrige um bug no IOGPUFamily. Essa é precisamente a classe de problema que deixa usuários de Sonoma e Sequoia em uma posição desconfortável, o que nos leva à próxima seção.

Safari 26.6.1: Exatamente a Metade do WebKit

Em 18 de agosto de 2026 a Apple lançou o Safari 26.6.1 para macOS Sonoma e macOS Sequoia. Não houve uma atualização de sistema correspondente para nenhum dos dois sistemas.

Comparamos os identificadores CVE dos dois documentos diretamente. O resultado é incomumente limpo:

Relação	Contagem
CVEs presentes tanto no macOS 26.6.2 quanto no Safari 26.6.1	21
CVEs apenas no Safari 26.6.1	0
CVEs apenas no macOS Tahoe 26.6.2	7

O Safari 26.6.1 é um subconjunto estrito. Toda correção de WebKit, WebKit History e WebKit Storage que o Tahoe recebeu, Sonoma e Sequoia também receberam, através do navegador. As sete que não cruzaram para o outro lado são exatamente as sete entradas fora do WebKit listadas acima: três de Kernel, duas de ImageIO, uma de Audio, uma de IOGPUFamily.

O que isso significa se você está no Sonoma ou no Sequoia: instale o Safari 26.6.1 e sua exposição no motor de navegador fica nivelada com a do Tahoe. O que você não tem é uma correção publicada para os problemas de kernel, ImageIO, Audio e IOGPUFamily.

O que temos cuidado de não afirmar: que Sonoma e Sequoia são, portanto, vulneráveis a esses sete. A linha "Disponível para" da Apple diz macOS Tahoe, e a Apple não publica se sistemas mais antigos contêm os mesmos caminhos de código. Às vezes uma entrada é exclusiva do Tahoe porque o bug foi introduzido no Tahoe. Às vezes é exclusiva do Tahoe porque o patch para o sistema mais antigo ainda não foi lançado. A Apple não diz qual dos dois casos se aplica, e a posição honesta é que não sabemos.

Oakley lê o momento como um sinal: "Isso também sugere que as próximas atualizações de segurança para Sonoma e Sequoia não são iminentes." Essa é uma inferência razoável a partir de um lançamento restrito ao Safari, e vale a pena considerá-la se você ainda está em um sistema operacional mais antigo por escolha própria. Também se encaixa com a evidência dos release candidates — a Apple emitiu um macOS Sequoia 15.8 RC (build 24H16) em 17 de agosto, então uma atualização de sistema para o Sequoia está no caminho, apenas ainda não foi lançada.

Para o panorama mais completo sobre quanto tempo um Mac mais antigo ainda tem pela frente, veja nossa lista de compatibilidade do fim da era dos Macs Intel.

Dois Branches do Tahoe ao Mesmo Tempo: 26.6.2 vs. 26.7

Esta é a parte que mais confundiu as pessoas, e vale a pena detalhar porque isso vai acontecer de novo.

Em 17 de agosto de 2026, a Apple lançou ambos:

• macOS Tahoe 26.6.2 (25G83) — um lançamento de segurança final e público, disponível para todos através do Software Update.
• macOS Tahoe 26.7 (25G220) — um Release Candidate, para desenvolvedores e para o canal beta público no mesmo dia, ao lado de um macOS Sequoia 15.8 RC (24H16).

A nota de lançamento da Apple para o 26.7 diz "Esta atualização fornece correções de segurança para o seu Mac." A nota do Sequoia 15.8 diz "Esta atualização fornece correções de segurança importantes e é recomendada para todos os usuários." Nenhuma das duas promete novos recursos. O MacRumors relatou separadamente que o RC do 26.7 contém strings que fazem referência a hardware ainda não lançado — acessórios domésticos sob os codinomes J490 e J491, e AirPods com câmeras — o que é normal para uma build cortada perto do lançamento de um hardware e não diz nada sobre a atualização em si.

Em qual você deveria estar? Se você não está inscrito em um programa beta, a pergunta nem se coloca: o Software Update oferece o 26.6.2, e esse é o lançamento atual. Se você está inscrito no canal de desenvolvedor ou no canal beta público, seu Mac está recebendo a oferta do RC do 26.7 em vez disso, e é fácil supor que você perdeu o 26.6.2. Você não perdeu, no sentido de que o RC é uma build posterior no mesmo branch. Mas você está rodando software pré-lançamento em uma máquina com a qual talvez se importe, o que é uma troca diferente daquela que você aceitou quando o beta era do macOS 27.

Se você se inscreveu para experimentar o macOS 27 e agora se vê em um RC do Tahoe, nossos guias sobre como instalar o beta público do macOS 27 com segurança e como fazer downgrade do beta do macOS 27 sem perder dados cobrem como sair do canal de forma limpa.

Observe os números de build, porque são contraintuitivos: o 26.6.2 é 25G83 e o 26.7 é 25G220. Ambos começam com 25G, o que significa que ambos são builds da geração Tahoe a partir da mesma base, mas o sufixo numérico não representa uma ordenação simples entre lançamentos com versões diferentes. Não tente deduzir qual atualização é "mais nova" apenas pela string da build.

Como Instalar, e O Que Verificar Primeiro

Para a maioria das pessoas, isso é uma tarefa de dois minutos sem nenhum drama. Os passos a seguir são os mesmos que recomendamos para qualquer lançamento de ponto, condensados.

Antes de Atualizar

1. Verifique seu espaço livre. O download em Apple silicon tem cerca de 2,9 GB, e o instalador precisa de espaço de trabalho além disso. Se o Software Update recusar ou travar, o armazenamento é a primeira coisa a verificar — veja nosso guia sobre falhas de atualização causadas por espaço insuficiente.
2. Garanta que um backup foi concluído recentemente. Não porque esta atualização seja arriscada, mas porque "backup feito recentemente" deveria ser verdade antes de qualquer gravação no sistema operacional. Se seu Time Machine vem falhando silenciosamente, nosso guia de solução de problemas do Time Machine cobre as causas mais comuns.
3. Anote sua build atual. Menu Apple → Sobre Este Mac, depois clique no número da versão para revelar a build. Anote em algum lugar. Se algo der errado, você vai querer saber de onde partiu.

Instalando

Ajustes do Sistema → Geral → Atualização de Software. O macOS Tahoe 26.6.2 deve aparecer como "macOS Tahoe 26.6.2". Clique em Atualizar Agora.

Se não aparecer:

• Dê tempo. A Apple escalona a disponibilidade das atualizações. Um lançamento que saiu em 17 de agosto não será oferecido a todos os Macs em 17 de agosto.
• Reinicie e verifique novamente. Isso resolve uma parcela surpreendente dos relatos de "não aparece", incluindo os próprios fóruns de discussão da Apple sobre este lançamento específico.
• Verifique se você está inscrito em um canal beta. Ajustes do Sistema → Geral → Atualização de Software → o ⓘ ao lado de Atualizações Beta. Se você estiver em um canal beta, está recebendo a oferta de uma build diferente.
• Verifique se seu Mac é gerenciado. Em um Mac de trabalho, uma configuração de MDM pode adiar atualizações por política. Nosso guia de implantação empresarial explica como funcionam as janelas de adiamento.

No Terminal você pode ver o que seu Mac está realmente sendo oferecido:

softwareupdate --list

E, se você quiser a atualização sem a interface gráfica:

sudo softwareupdate --install --all --restart

Se a Atualização Der Errado

Isso raramente acontece em um lançamento de ponto, mas o processo de atualização moderno falha de formas que parecem alarmantes e geralmente não são — durante a maior parte da atualização seu volume Data fica desmontado, então um Mac pode ficar parado em uma barra de progresso parecendo travado enquanto na verdade nada está quebrado. Escrevemos a sequência completa de recuperação em o que fazer quando uma atualização do macOS dá errado, incluindo a diferença entre revive e restore, e por que você deve sempre tentar o revive primeiro.

Problemas Relatados Após o 26.6.2

Separamos isso com cuidado, porque uma atualização de segurança atrai para si toda reclamação não relacionada da internet.

O que a Apple documentou: nada. Não há documento de suporte da Apple descrevendo um problema conhecido no 26.6.2, e as notas de lançamento descrevem apenas correções de segurança.

O que foi relatado por usuários, não confirmado: o item mais repetido é que alguns donos de Studio Display XDR encontraram sua taxa de atualização de 120 Hz indisponível após atualizar, com alguns relatos de que desconectar e reconectar o cabo restaurou a taxa. Um relato semelhante circulou após o 26.6 em julho. Sinalizamos como não confirmado então, e sinalizamos como não confirmado agora: não há reconhecimento da Apple, nenhuma reprodução consistente, e nenhum relato que isole o problema de variáveis de cabo, dock ou firmware. Se você possui esse monitor e depende dos 120 Hz, isso é motivo para verificar depois de atualizar, não motivo para pular um patch de kernel e ImageIO.

O que não é evidência: uma thread de fórum em que alguém atualizou e depois teve um Mac lento. Lançamentos de ponto disparam a reindexação do Spotlight, e a reindexação parece exatamente uma regressão de desempenho por algumas horas. Cobrimos esse padrão em detalhes para o lançamento do 26.6 em por que seu Mac esquenta depois de uma atualização do macOS, e tudo o que está lá se aplica aqui também.

Você Deveria Instalar?

Versão curta: sim, e com razoável prontidão.

A versão mais longa, por situação:

Você está	Recomendação
No macOS Tahoe, Mac pessoal	Instale. Só a entrada de execução de código no ImageIO já justifica.
No macOS Tahoe, Mac de produção que você não pode perder por uma hora	Instale dentro da semana, depois de um backup verificado. Nada aqui traz novos recursos, então não há nada de novo para quebrar.
No macOS Sequoia ou Sonoma	Instale o Safari 26.6.1. É o que está disponível para você, e cobre 21 dos 28 identificadores.
Inscrito no beta do macOS 27	Você está no branch do RC do 26.7. Decida se quer estar; veja o guia de downgrade acima.
Gerenciando uma frota	Note que isso é um backport do beta do macOS 27, então o código já teve exposição em beta. Implantação em anéis padrão.

O único argumento para esperar é o geral que sempre se aplica: se um lançamento de ponto quebra algo em uma configuração de hardware específica, isso geralmente aparece dentro de cerca de uma semana. Pese isso contra um bug de decodificação de imagem não corrigido que pode ser disparado por um arquivo chegando pelo Messages.

O Que a Apple Não Nos Disse

Todo lançamento de segurança tem lacunas, e nomeá-las é mais útil do que fingir que não existem.

• A Apple não disse se algum desses foi explorado. Nenhuma entrada carrega a linguagem "A Apple tem conhecimento de um relato de que esse problema pode ter sido explorado ativamente". Essa é uma ausência genuína e significativa, não um descuido.
• A Apple não disse por que sete correções são exclusivas do Tahoe. Como coberto acima, isso pode significar que os bugs não existem em sistemas mais antigos, ou pode significar que os patches para sistemas mais antigos ainda estão a caminho. A Apple nunca distingue as duas possibilidades.
• A Apple não descreveu a metodologia da Codex Security. O crédito é um nome. Todo o resto sobre como esses nove bugs foram encontrados não foi publicado.
• A Apple não publicou o tamanho do download. O número de 2,9 GB vem da análise de Oakley, não da Apple.
• A Apple não explicou o lançamento em dois branches. A frase "ficaram disponíveis pela primeira vez no beta do macOS Golden Gate 27" é a única pista, e estamos interpretando isso como um backport. Essa interpretação se encaixa em todo fato observável, mas ainda é uma interpretação.

Solução de Problemas Comuns

O macOS 26.6.2 não aparece na Atualização de Software

As quatro causas, na ordem em que verificar: lançamento escalonado (espere, depois reinicie), inscrição em canal beta (você está no branch do RC do 26.7 em vez disso), adiamento por MDM em um Mac gerenciado, e espaço livre insuficiente. Execute softwareupdate --list para ver o que seu Mac acredita estar disponível — é mais informativo que a interface gráfica, porque mostra o rótulo e a versão de cada atualização oferecida.

A atualização baixou mas não instala

Reinicie primeiro. Se falhar de novo, verifique o espaço livre com df -h /System/Volumes/Data — o instalador precisa de significativamente mais espaço do que o tamanho do download. Se ainda assim falhar, o caminho de recuperação em nosso guia para quando uma atualização dá errado se aplica.

Meu Mac está lento e quente depois de atualizar

Quase sempre é a reindexação do Spotlight. Abra o Monitor de Atividade, ordene por CPU, e procure por mds_stores e mdworker. Verifique mdutil -s -a para ver o status da indexação. Dê horas, não minutos, e deixe o Mac ligado na tomada. Não force uma reconstrução — isso reinicia o cronômetro do zero.

O Safari 26.6.1 não aparece no meu Mac com Sonoma ou Sequoia

Atualizações do Safari chegam pela Atualização de Software como qualquer outra, mas às vezes são listadas separadamente das atualizações de sistema. Verifique softwareupdate --list procurando especificamente por uma entrada do Safari. Se seu Mac tem as atualizações automáticas de segurança desativadas, reativá-las em Ajustes do Sistema → Geral → Atualização de Software → ⓘ é a correção mais rápida.

Meu Studio Display XDR perdeu os 120 Hz depois de atualizar

Não confirmado e não reconhecido pela Apple, mas a solução alternativa relatada é desconectar e reconectar o cabo do monitor, depois verificar Ajustes do Sistema → Monitores. Se isso não restaurar, verifique se o monitor tem firmware próprio pendente, e relate o problema à Apple — um problema não reconhecido permanece não reconhecido até que pessoas o suficiente registrem relatos.

Perguntas Frequentes

Quantas vulnerabilidades o macOS Tahoe 26.6.2 corrige?

Vinte e oito identificadores CVE distintos, organizados em vinte entradas na página de segurança da Apple. Ambos os números são legítimos; a diferença é que algumas entradas agrupam vários CVEs sob um único impacto e uma única descrição de correção. Contagens publicadas em outros lugares podem diferir porque a Apple ocasionalmente revisa essas páginas depois da publicação.

Por que a Apple lançou o 26.6.2 e um Release Candidate do 26.7 no mesmo dia?

Porque o 26.6.2 é um backport. As próprias notas de lançamento da Apple dizem que as correções "ficaram disponíveis pela primeira vez no beta do macOS Golden Gate 27". Em vez de segurá-las para o 26.7 ou para o lançamento público do macOS 27, a Apple as entregou imediatamente ao sistema operacional atual enquanto o 26.7 continuava seu ciclo de RC.

O macOS Tahoe 26.7 está disponível agora?

Não como lançamento final. No momento em que este texto foi escrito, o 26.7 existe apenas como Release Candidate (build 25G220), emitido em 17 de agosto de 2026 para desenvolvedores e testadores do beta público. A página de lançamentos de segurança da Apple ainda lista o 26.6.2 como a versão atual do macOS.

O que significa "OpenAI Codex Security" nos créditos da Apple?

É o nome creditado de um esforço de pesquisa de segurança que encontrou e reportou nove das vulnerabilidades do WebKit neste lançamento. As linhas de crédito da Apple nomeiam quem reportou, não os métodos, então o crédito diz quem reportou o problema e nada sobre como ele foi encontrado. Nove dos 28 CVEs no macOS 26.6.2 carregam esse crédito, todos no WebKit.

Estou no macOS Sequoia. Estou protegido?

Parcialmente. O Safari 26.6.1, lançado em 18 de agosto de 2026, contém todos os 21 CVEs da família WebKit deste lançamento. Ele não contém as sete correções de Kernel, ImageIO, Audio e IOGPUFamily, e a Apple não publicou se o Sequoia é afetado por elas. Existe um Release Candidate do Sequoia 15.8, então uma atualização de sistema está a caminho.

Preciso atualizar se só uso o Safari para navegar?

Sim. As sete correções fora do WebKit incluem uma entrada de ImageIO cujo impacto é "Processar uma imagem pode levar à execução arbitrária de código", e o processamento de imagens acontece no Messages, no Mail, nas prévias do Finder e no Quick Look — não apenas em um navegador. Um modelo mental restrito ao navegador não cobre este lançamento.

Essa atualização vai mudar algo que eu consiga ver?

Não. Não há novos recursos, mudanças de interface ou mudanças de comportamento documentadas. Os únicos aumentos de versão visíveis ao usuário são o Safari para 26.6.2 e o app Passwords para 2.6.2.

Conclusão

O macOS Tahoe 26.6.2 é um lançamento de segurança rotineiro com duas coisas que vale a pena lembrar.

A primeira é estrutural: a Apple trouxe correções do beta do macOS 27 de volta para o sistema operacional em produção e disse isso por escrito. Conforme o macOS 27 se aproxima, espere mais disso — a correção existe, o beta já a exercitou, e não há razão para fazer os usuários do Tahoe esperar por ela. O efeito colateral são lançamentos como o de 17 de agosto, em que uma atualização final e um Release Candidate para a próxima versão chegam no mesmo dia e fica genuinamente pouco claro em qual deles você deveria estar. A resposta, a menos que você tenha deliberadamente entrado em um beta, é sempre a final.

A segunda é a linha de crédito. Nove de vinte e oito CVEs vindos de um único esforço de pesquisa impulsionado por IA, todos no WebKit, não é um marco que a Apple anunciou — está apenas ali, nos agradecimentos. Isso não significa que seu Mac esteja menos seguro. Se algo, significa o oposto: são bugs que foram encontrados e corrigidos antes que alguém relatasse seu uso indevido. Mas significa que a economia de encontrar bugs de segurança de memória em um motor de navegador mudou, e o ritmo de lançamentos da Apple mudou visivelmente junto com ela.

Instale a atualização. Depois, se você ainda estiver no Sonoma ou no Sequoia, instale o Safari 26.6.1 e comece a pensar nas sete correções que você ainda não tem.

Leitura relacionada: macOS Tahoe 26.6.1 e a falha do Compartilhamento de Tela · macOS Tahoe 26.6: o que há de novo e o que foi corrigido · Melhorias de Segurança em Segundo Plano explicadas · Falhas de abas do Safari e feature flags do WebKit

Fontes: Apple, "About the security content of macOS Tahoe 26.6.2" (support.apple.com/en-us/148281, acessado em 22 de agosto de 2026) · Apple, "About the security content of Safari 26.6.1" (support.apple.com/en-us/148286, acessado em 22 de agosto de 2026) · Apple, "Apple security releases" (support.apple.com/en-us/100100, acessado em 22 de agosto de 2026) · Apple Developer, "macOS 26.6.2 (25G83)", 17 de agosto de 2026 · The Eclectic Light Company, "Apple has released a security update to macOS Tahoe 26.6.2", 17 de agosto de 2026 · The Eclectic Light Company, "Apple has released an update to Safari 26.6.1 for Sequoia and Sonoma", 18 de agosto de 2026 · 9to5Mac, "Apple rolls out Release Candidates for macOS Tahoe 26.7 and macOS Sequoia 15.8", 17 de agosto de 2026 · MacRumors, "macOS Tahoe 26.7 is Full of References to Unreleased Apple Products", 17 de agosto de 2026.