iOS 26.7.1 cierra el fallo que permitía tomar el iPhone con un solo archivo trampa

Apple ha publicado iOS 26.7.1 para cerrar una brecha en CoreGraphics, el componente del sistema que muestra imágenes y abre archivos PDF, que permitía ejecutar el código de un atacante en un iPhone o un iPad a partir de un único archivo manipulado. La compañía afirma que el fallo podría haberse utilizado ya contra personas concretas. Si tu teléfono sigue con iOS 26 en lugar de iOS 27, esta es la actualización que debes instalar hoy.

El riesgo está en algo que todos los teléfonos hacen constantemente, sin pedirte permiso. Las fotos, los PDF, las vistas previas en un chat y los archivos adjuntos de un correo electrónico pasan por CoreGraphics antes de aparecer en pantalla. Un fallo en ese nivel implica que la víctima no tiene que instalar nada sospechoso: basta con abrir un archivo trampa, o incluso con que se muestre, para que el atacante pueda hacerse con el control.

Apple describe el error como una escritura fuera de límites: un fallo de programación que permite que los datos rebasen el espacio de memoria que debían ocupar y sobrescriban el código que el atacante quiere reemplazar. La solución, en palabras de Apple, incorpora comprobaciones de límites mejoradas. La compañía afirma tener constancia de un informe según el cual el problema podría haberse explotado en un ataque extremadamente sofisticado contra personas concretas y seleccionadas, en versiones de iOS anteriores a iOS 27.

El equipo de seguridad de producto de Meta informó del fallo a Apple. Meta también protege WhatsApp, Instagram y Facebook Messenger, tres aplicaciones que gestionan cada día un enorme volumen de imágenes y archivos. Ninguna de las dos compañías ha dicho quién fue el objetivo, cuántas personas se vieron afectadas ni quién estuvo detrás del ataque, según informó TechCrunch.

Apple ha utilizado esa misma expresión —un ataque extremadamente sofisticado contra personas concretas y seleccionadas— en casos anteriores relacionados con programas espía comerciales dirigidos a periodistas, activistas y cargos públicos, en lugar de con infecciones masivas. Para la mayoría de los propietarios de un iPhone, el peligro real es menor. El problema es que, una vez que se publica un parche, investigadores y delincuentes pueden estudiar los cambios e intentar reconstruir el exploit, de modo que los teléfonos sin actualizar se convierten en objetivos más fáciles durante las semanas siguientes.

La actualización no soluciona todos los problemas. El aviso de Apple incluye el iPhone 11 y los modelos posteriores, así que quienes tengan modelos más antiguos que no pueden ejecutar iOS 26 no reciben ninguna solución con esta versión. Ninguno de los informes publicados hasta ahora menciona un parche para los Mac con versiones anteriores a Sequoia. Y quienes corren un riesgo real de ser objeto de ataques necesitan algo más que una actualización: el Modo de aislamiento de Apple, que desactiva muchas vistas previas de archivos y tipos de archivos adjuntos, existe precisamente para hacer frente a ataques de este tipo.

iOS 27 no está afectado, lo que simplifica la decisión. Funciona en los mismos teléfonos que iOS 26, desde el iPhone 11 en adelante, así que todos los dispositivos incluidos en este parche también pueden instalar la actualización completa. Muchos usuarios esperan unas semanas antes de dar el salto a una versión importante para evitar los primeros fallos o quejas por la batería; este parche les permite quedarse donde están sin seguir expuestos. Según TechCrunch, a principios de este mes ya se había corregido en iOS 27 otro fallo de iMessage, descubierto por la empresa belga ironPeak, que no requería ni siquiera tocar la pantalla.

Los parches no son solo para teléfonos. Apple publicó iOS 26.7.1 y iPadOS 26.7.1 el 28 de septiembre, junto con macOS Tahoe 26.7.1 y macOS Sequoia 15.8.1 para Mac. En el iPad, la solución llega al iPad Pro de 12,9 pulgadas de tercera generación o posterior, al iPad Pro de 11 pulgadas de primera generación o posterior, al iPad Air de tercera generación o posterior, al iPad estándar de octava generación o posterior y al iPad mini de quinta generación o posterior. La actualización está disponible en todo el mundo desde Ajustes, General y Actualización de software; en el Mac, se instala desde Ajustes del Sistema.

El fallo tiene el identificador CVE-2026-86950. Apple no ha dicho si publicará más detalles y rara vez los ofrece mientras sigue investigando un ataque. La única defensa que propone es la que ya aparece en la pantalla de Actualización de software.

Etiquetas: Apple, ciberseguridad, meta, iphone, CoreGraphics, iOS 26.7.1