Apple corrige una falla de seguridad en iOS que, según dice, pudo haber sido explotada

Apple corrigió una vulnerabilidad de seguridad que afectaba a iOS 26, iPadOS 26 y macOS 26 y que, según la empresa, “pudo haber sido explotada” por hackers. En un listado publicado en sus páginas de seguridad, Apple dijo que el error, ya corregido y registrado como CVE-2026-86950, podía usarse para lanzar “un ataque extremadamente sofisticado contra personas específicamente señaladas en versiones de iOS anteriores a iOS 27”.

La falla reside en el motor gráfico principal que impulsa la interfaz de usuario y los elementos visuales de iPhones, iPads y Macs. Apple no ha divulgado detalles del error, pero el motor gráfico de un dispositivo suele tener amplio acceso al resto del sistema operativo, lo que significa que una explotación exitosa podría permitir a un hacker robar una amplia gama de datos personales de un dispositivo afectado. El equipo de seguridad de productos de Meta fue reconocido por el descubrimiento. Al ser contactados, los voceros de Apple y Meta no explicaron cómo se encontró el error ni cuántos dispositivos, de haber alguno, resultaron comprometidos, y sigue sin estar claro quién podría estar explotándolo, ya sean fabricantes de spyware gubernamentales o ciberdelincuentes.

La vulnerabilidad afecta a la generación anterior de sistemas operativos de Apple, pero esta sigue muy extendida: casi cuatro de cada cinco propietarios de iPhone todavía usan iOS 26, según las propias estadísticas de Apple. Los dispositivos que ya ejecutan los más recientes iOS 27, iPadOS 27 y macOS 27, lanzados a principios de este mes, también recibieron una actualización de software el martes, aunque Apple afirma que no están afectados por el error bajo ataque activo.

La divulgación llega poco después de que Apple corrigiera un error “zero-click” independiente y más grave, registrado como CVE-2026-86869, que podría haber permitido a hackers robar datos de forma silenciosa de iPhones, iPads o Macs afectados. La firma belga de ciberseguridad ironPeak publicó un análisis detallado la semana pasada en el que explicó que el error podía activarse de forma invisible mediante un iMessage manipulado con fines maliciosos, sin que el usuario lo supiera. Este tipo de errores no requiere ninguna interacción de la víctima, como hacer clic en un enlace, y son muy codiciados por proveedores de vigilancia y fabricantes de spyware. El error también era capaz de eludir BlastDoor, la función de seguridad que Apple diseñó para impedir que código malicioso —incluido el spyware— escape del entorno aislado (sandbox) de iMessage. Apple corrigió ese error en septiembre con el lanzamiento de iOS 27, iPadOS 27 y macOS 27, y atribuyó el hallazgo al investigador de ironPeak Niels Hofmans, junto con investigadores de seguridad de Meta, quienes confirmaron los hallazgos en una publicación en X. Todavía no se sabe si el error zero-click fue utilizado en ciberataques antes de ser corregido.

Por qué importa

Estas dos divulgaciones consecutivas muestran cuánto de la base instalada de Apple sigue usando software vulnerable meses después de que se publica una corrección, y cómo el entorno aislado de iMessage sigue siendo un blanco privilegiado para los proveedores de vigilancia y fabricantes de spyware que valoran los errores que no requieren interacción del usuario.