Apple publica 11 actualizaciones de seguridad y extiende a iPhones antiguos la reparación de una vulnerabilidad explotada

Los iPhones antiguos reciben una reparación para ataques dirigidos

Apple publicó 11 actualizaciones de seguridad el 26 de octubre de 2026, incluida una reparación para una vulnerabilidad gráfica explotada que afecta al iPhone XS, iPhone XS Max, iPhone XR y al iPad de séptima generación. Las actualizaciones también corrigen cientos de vulnerabilidades en iPhones, iPads, Macs, Apple Watches, Apple TVs, visores Vision Pro y Safari más recientes.

La novedad más urgente para los propietarios de esos dispositivos antiguos son iOS 18.7.11 y iPadOS 18.7.11. Ambas actualizaciones corrigen CVE-2026-86950, una vulnerabilidad de CoreGraphics que, según Apple, podría haberse utilizado en ataques muy dirigidos contra personas que ejecutaban versiones anteriores a iOS 27. El procesamiento de un archivo especialmente manipulado podría permitir que un atacante ejecutara código en un dispositivo afectado.

Apple ya había corregido esa vulnerabilidad en varias versiones más recientes de sus sistemas operativos el 28 de septiembre. La actualización de octubre extiende la protección a equipos antiguos mediante un proceso llamado retroportación: llevar una reparación de seguridad a una versión anterior del software en lugar de exigir que se instale el sistema operativo más reciente.

Otra respuesta de seguridad se refiere a certificados comprometidos de la autoridad de certificación india eMudhra. Apple bloqueó automáticamente en Safari, Mail y las aplicaciones que utilizan sus marcos de red y seguridad los certificados web afectados. Algunas herramientas de línea de comandos para Mac todavía requieren atención porque usan un archivo diferente para determinar qué certificados son de confianza.

Qué publicó Apple y cómo se suman las cifras

La lista de actualizaciones de seguridad de Apple fecha las 11 actualizaciones el 26 de octubre. Abarcan tres generaciones del software para iPhone y iPad, tres sistemas operativos para Mac, dos ramas del software para Apple TV, watchOS, visionOS y Safari.

Las cifras de vulnerabilidades publicadas son:

• iOS 27.2 y iPadOS 27.2: 163.
• iOS 26.7.2 y iPadOS 26.7.2: 134.
• iOS 18.7.11 y iPadOS 18.7.11: tres.
• macOS Golden Gate 27.2: 263.
• macOS Tahoe 26.7.2: 213.
• macOS Sequoia 15.8.2: 197.
• tvOS 27.2: 72.
• watchOS 27.2: 62.
• visionOS 27.2: 125.
• Safari 27.2: 33.
• tvOS 26.6.1: no tiene entradas CVE publicadas.

Las cifras suman 1.265 registros de vulnerabilidades en las actualizaciones, que representan al menos 329 fallos distintos. Una vulnerabilidad puede aparecer en varias actualizaciones porque los productos de Apple comparten componentes de software. Si se consideran solo iOS 27.2 y macOS 27.2, hay 286 vulnerabilidades distintas: 163 más 263, con alrededor de 140 compartidas entre ambos.

Por qué importa la reparación de CoreGraphics

CoreGraphics se encarga de tareas como dibujar texto y mostrar imágenes. CVE-2026-86950 es un fallo de escritura fuera de límites, lo que significa que el software puede escribir información más allá del espacio de memoria que tiene reservado. Un atacante podría aprovechar ese error para interferir con un programa o hacer que ejecute instrucciones elegidas por el atacante.

Product Security de Meta descubrió la vulnerabilidad. Apple, la empresa responsable de los sistemas operativos afectados, describió la alerta sobre su explotación en su aviso de seguridad:

«Apple tiene conocimiento de un informe según el cual este problema podría haberse explotado en un ataque extremadamente sofisticado contra personas concretas y seleccionadas que utilizaban versiones de iOS anteriores a iOS 27».

Apple también describió el impacto técnico y la reparación:

«El procesamiento de un archivo creado con fines maliciosos puede permitir la ejecución de código arbitrario. Se corrigió un problema de escritura fuera de límites mediante una mejora en la comprobación de límites».

La comprobación de límites consiste en verificar que un programa se mantenga dentro del espacio de memoria que tiene asignado. La vulnerabilidad se describió como de día cero porque los atacantes la habían utilizado antes de que hubiera una solución disponible. Apple no informó de otros casos conocidos de explotación entre las vulnerabilidades cubiertas por las actualizaciones de octubre.

La reparación llegó a distintas ramas del software a lo largo de varias semanas:

• 28 de septiembre: Apple publicó reparaciones en iOS 26.7.1, iPadOS 26.7.1, macOS Tahoe 26.7.1 y macOS Sequoia 15.8.1.
• 29 de septiembre: las autoridades estadounidenses añadieron CVE-2026-86950 al catálogo de vulnerabilidades conocidas y explotadas.
• 26 de octubre: iOS 18.7.11 y iPadOS 18.7.11 llevaron la reparación a los dispositivos antiguos identificados por Apple.

Entre las fechas de publicación de septiembre y octubre transcurrieron 28 días. Para quienes tienen un iPhone XS, XS Max, XR o un iPad de séptima generación, el paso práctico es instalar la actualización que se ofrece para ese dispositivo. Apple no ha identificado públicamente a las personas atacadas ni ha explicado cómo llegaron a ellas los archivos maliciosos.

Tres reparaciones protegen los dispositivos antiguos

iOS 18.7.11 y iPadOS 18.7.11 contienen tres reparaciones registradas, incluida la de CoreGraphics. Las otras dos abordan la exposición de datos sensibles y el acceso a la cámara sin permiso.

CVE-2026-65339 afecta al marco Audio y podría exponer información sensible de los usuarios. CVE-2026-86990 afecta a CoreMedia y podría permitir que una aplicación maliciosa accediera a la cámara sin permiso del usuario. CoreMedia forma parte del software que Apple utiliza para gestionar audio y video.

Apple incluye el iPhone XS, el iPhone XS Max, el iPhone XR y el iPad de séptima generación entre los dispositivos compatibles con estas actualizaciones. El número de compilación es 22H384. Este identificador ofrece a los usuarios y administradores otra forma de comprobar qué versión del software está instalada.

Las tres reparaciones muestran por qué una actualización pequeña puede requerir atención inmediata. Para estos dispositivos, la actualización combina la solución de un fallo explotado con cambios que protegen la información privada y el acceso a la cámara. No hacen falta cientos de reparaciones registradas para que una actualización aborde riesgos graves.

Los iPhones y iPads más recientes reciben reparaciones más amplias

El aviso de seguridad de iOS de Apple describe reparaciones de componentes en iOS 27.2 y iPadOS 27.2, incluidos CoreGraphics, CoreMedia, ImageIO y el kernel. El kernel es la parte central de un sistema operativo y gestiona el hardware, la memoria y el acceso entre programas.

Las 163 vulnerabilidades incluyen problemas en WebKit, el motor de Apple para mostrar páginas web, y en componentes que procesan imágenes, fuentes, documentos PDF, audio y video. Algunos fallos podrían permitir la ejecución de código al procesar contenido malicioso en un dispositivo. Otros podrían permitir que las aplicaciones obtuvieran datos sensibles o eludieran los ajustes de privacidad.

Las actualizaciones también corrigen CVE-2026-86987, una vulnerabilidad de Apple Intelligence que podría permitir que un atacante remoto accediera a información sensible en iPhones y iPads compatibles. Otras reparaciones abordan escapes del entorno aislado de WebContent, diseñado para mantener el contenido web separado del resto del sistema.

Otras soluciones se refieren a la suplantación de un servidor de autenticación Kerberos y al acceso de un atacante cercano a una red Thread. Kerberos ayuda a los sistemas a verificar identidades, mientras que Thread conecta dispositivos compatibles, incluidos los de hogares inteligentes.

iOS 27.2 es compatible con el iPhone 11 y modelos posteriores. iPadOS 27.2 es compatible con el iPad Pro de 12,9 pulgadas de cuarta generación, el iPad Pro de 11 pulgadas de segunda generación, el iPad Air de cuarta generación, el iPad de novena generación y el iPad mini de sexta generación, así como con los modelos posteriores de esas líneas. La rama 26.7.2 también abarca algunos iPads anteriores, incluidos el iPad de octava generación, el iPad Air de tercera generación y el iPad mini de quinta generación.

Las reparaciones para Mac llegan al acceso remoto y los controles del sistema

macOS Golden Gate 27.2 tiene la cifra más alta de vulnerabilidades individuales, con 263. Entre las reparaciones hay más de una docena de fallos que podrían permitir que las aplicaciones obtuvieran acceso root, el nivel más alto de control sobre un Mac.

Apple también corrigió escapes del entorno aislado, formas de eludir Gatekeeper y problemas de corrupción de memoria en componentes que gestionan sistemas de archivos e imágenes de disco. Gatekeeper comprueba el software descargado antes de ejecutarlo y ayuda a los usuarios a evitar aplicaciones que no son de confianza.

Screen Sharing, Remote Management y SMB, un protocolo para compartir archivos en red, también reciben reparaciones. Algunas vulnerabilidades pueden explotarse de forma remota o desde la red local. Un fallo de Remote Management podría permitir que un atacante remoto ejecutara código, por lo que la actualización es especialmente pertinente para las organizaciones que gestionan Macs en red.

macOS Tahoe 26.7.2 corrige 213 vulnerabilidades, mientras que macOS Sequoia 15.8.2 corrige 197. La actualización de Tahoe incluye CVE-2026-43736, un fallo de Siri que podría permitir que una aplicación accediera a información sensible del usuario.

Safari 27.2 está disponible por separado para macOS Sequoia y macOS Tahoe y corrige 33 vulnerabilidades. Su disponibilidad permite a quienes siguen usando esos sistemas operativos para Mac actualizar el navegador, además de instalar las reparaciones pertinentes del sistema.

Las actualizaciones también incluyen relojes, televisores y visores

Las actualizaciones de octubre de Apple van más allá de los teléfonos y las computadoras. watchOS 27.2 corrige 62 vulnerabilidades y es compatible con Apple Watch Series 9 y modelos posteriores. visionOS 27.2 corrige 125 vulnerabilidades y está disponible para todos los modelos de Apple Vision Pro.

tvOS 27.2 corrige 72 vulnerabilidades para el Apple TV 4K de segunda generación y modelos posteriores. El Apple TV HD y el Apple TV 4K de primera generación reciben, en cambio, tvOS 26.6.1, que Apple indica que no tiene entradas CVE publicadas.

Los números CVE son identificadores públicos que se utilizan para rastrear vulnerabilidades de seguridad. La lista de Apple distingue la compatibilidad del hardware de esos identificadores, por lo que es importante comprobar el modelo exacto del dispositivo para determinar qué actualización corresponde. En un hogar o lugar de trabajo, actualizar solo un teléfono deja los relojes, televisores, visores y computadoras con el software que ya tenían.

Por qué Apple bloqueó los certificados de eMudhra

El aviso de seguridad de Apple sobre eMudhra, publicado el 23 de octubre, describe un problema distinto relacionado con las claves privadas de ocho autoridades de certificación intermedias gestionadas por eMudhra. Seis emitían certificados TLS para sitios web y dos emitían certificados utilizados para firmar software.

Un certificado de sitio web funciona como un documento de identidad. Una autoridad de certificación lo firma para que el software pueda comprobar que una conexión corresponde al sitio web esperado. Quien tenga la clave privada de una autoridad intermedia podría crear certificados que parezcan válidos para otros sitios web.

Las claves de eMudhra se generaron con muy poca aleatoriedad, lo que permitió calcularlas a partir de certificados públicos. El investigador de seguridad Scott Helme dijo que recuperó las ocho en menos de un segundo. eMudhra atribuyó la debilidad a un problema ocurrido durante una ceremonia de generación de claves el 30 de abril de 2025 y dijo que solo una de las autoridades intermedias afectadas se había implementado en producción y que ninguna había emitido certificados para usuarios finales.

Un investigador informó del problema el 17 de octubre. Apple comenzó a bloquear 12 certificados TLS afectados el 19 de octubre y el 23 de octubre también bloqueó emSign ECC Root CA - G3. Hay 12 certificados TLS porque cada una de las seis autoridades TLS afectadas tiene dos versiones de certificado, que la conectan con distintas raíces de confianza. eMudhra y Sectigo revocaron los certificados afectados.

Chrome, Firefox y Android también incorporaron medidas de bloqueo, mientras que proyectos de software y proveedores de sistemas operativos publicaron cambios para sus propios almacenes de certificados. No se había confirmado ninguna explotación maliciosa de las claves de eMudhra. Los bloqueos automáticos de Apple se aplican a Safari, Mail y las aplicaciones que utilizan sus marcos de red y seguridad, sin que los usuarios tengan que instalar una actualización del sistema operativo.

Algunas herramientas para Mac todavía requieren una respuesta aparte

Los administradores de Mac y los desarrolladores afrontan un problema residual más acotado. Algunas herramientas incluidas con macOS o Xcode Command Line Tools, entre ellas curl, git, python3, ruby, perl y openssl, comprueban los certificados con el archivo /etc/ssl/cert.pem. En las cadenas de certificados que se consideran de confianza a través de ese archivo, estas herramientas no comprueban el bloqueo de certificados de Apple ni su estado de revocación.

Apple afirma que una futura actualización de software modificará el archivo, pero no dio una fecha de publicación. Los administradores que quieran actuar antes pueden seguir las instrucciones de Apple para hacer una copia de seguridad y eliminar los certificados raíz pertinentes.

Eliminar emSign ECC Root CA - G3 bloquea una vía de confianza. El aviso de Apple explica que los certificados de firma cruzada de Sectigo aún pueden aceptarse a través de AAA Certificate Services, por lo que los administradores también pueden eliminar esa raíz, si lo consideran necesario. Eliminar certificados raíz afecta a todas las herramientas que dependen del archivo y puede interrumpir conexiones con sitios web legítimos que utilizan otros certificados bajo esas raíces.

Una actualización posterior de macOS puede reemplazar /etc/ssl/cert.pem. Por eso, quienes apliquen esta medida temporal deberán revisar el archivo después de cada actualización hasta que Apple implemente el cambio definitivo. Los desarrolladores deben ocuparse por separado de las aplicaciones que tienen sus propias listas de certificados.

La mayoría de los propietarios de dispositivos Apple no necesitan editar archivos de certificados. Su tarea inmediata es instalar las actualizaciones de seguridad correspondientes, mientras que las organizaciones también deberían revisar los servicios de gestión remota, las herramientas de desarrollo y las aplicaciones que mantienen sus propias listas de confianza. Apple agradeció a herramientas de inteligencia artificial y equipos de investigación por descubrir varios fallos de las actualizaciones más amplias, lo que muestra que las pruebas de seguridad están detectando problemas en muchos componentes compartidos a la vez.

Puntos clave

• Apple publicó 11 actualizaciones de seguridad el 26 de octubre de 2026, que abarcan sus principales sistemas operativos y Safari.
• iOS 18.7.11 y iPadOS 18.7.11 llevan la reparación de un fallo explotado de CoreGraphics al iPhone XS, XS Max, XR y al iPad de séptima generación.
• Las actualizaciones contienen 1.265 registros de vulnerabilidades que representan al menos 329 fallos distintos en componentes de software compartidos.
• Las reparaciones para Mac incluyen vulnerabilidades de acceso remoto, mientras que otras soluciones protegen datos sensibles y los permisos de la cámara.
• Apple bloquea automáticamente certificados web comprometidos de eMudhra en Safari, Mail y las aplicaciones que utilizan sus marcos de seguridad.
• Algunas herramientas de línea de comandos para Mac requieren una futura actualización del archivo de certificados o una solución provisional opcional para administradores.