Parche urgente para iOS 26, iPadOS 26 y macOS 26

Apple ha lanzado una actualización de seguridad urgente para quienes todavía usan iOS 26, iPadOS 26 o macOS 26. La compañía advierte de una vulnerabilidad en CoreGraphics, el motor gráfico de bajo nivel que gestiona la interfaz de estos dispositivos, que «puede haber sido explotada» en ataques «extremadamente sofisticados» contra «individuos específicos» que aún no han instalado iOS 27.

El fallo, registrado como CVE-2026-86950, se corrige con iOS 26.7.1, iPadOS 26.7.1, macOS Tahoe 26.7.1 y macOS Sequoia 15.8.1. Apple lo describe en sus notas de seguridad como un problema de escritura fuera de límites en CoreGraphics. Según la National Vulnerability Database, un archivo malicioso podría aprovecharlo para ejecutar código arbitrario en el dispositivo. La compañía asigna al fallo una gravedad de 8,8 sobre 10.

Apple no ha publicado todos los detalles técnicos de la vulnerabilidad. En el listado de seguridad, el equipo de seguridad de producto de Meta aparece acreditado por el hallazgo. Tampoco está claro quién podría estar detrás de la explotación, si fabricantes de espionaje gubernamental o ciberdelincuentes, y ni Apple ni Meta han dado cifras sobre posibles víctimas.

Por qué afecta a tanta gente

El parche es especialmente importante porque la generación anterior de sistemas sigue siendo la más usada. Según las estadísticas de Apple, casi cuatro de cada cinco iPhone funcionan todavía con iOS 26. Además, el motor gráfico tiene un acceso amplio al resto del sistema, por lo que una explotación con éxito podría permitir robar una gran cantidad de datos personales del dispositivo.

Apple recomienda actualizar a los usuarios de iPhone 11 y posterior, iPad Pro de 11 pulgadas (primera generación y posterior), iPad Pro de 12,9 pulgadas (tercera generación y posterior), iPad Air (tercera generación y posterior), iPad (octava generación y posterior) y iPad mini (quinta generación y posterior). En el Mac, el parche llega a los equipos con macOS Sequoia 15.8.1 o macOS Tahoe 26.7.1.

La instalación se hace desde Ajustes > General > Actualización de software y pulsando en Descargar e instalar. Ojo: esta actualización no debe confundirse con iOS 27.0.1, la versión menor que Apple ha lanzado para los dispositivos ya instalados en iOS 27. Esa versión corrige reinicios en el iPhone 18 Pro y Pro Max cuando Face ID falla, artefactos de color en la cámara con apertura f/1.48 y problemas táctiles al abrir el Centro de Control y el Centro de Notificaciones al mismo tiempo, pero no incluye la corrección de seguridad de CVE-2026-86950.

El fallo de iMessage que no necesita que toques nada

La llegada de este parche se produce poco después de que Apple resolviera otra vulnerabilidad crítica, CVE-2026-86869, que podía robar datos en silencio desde iPhone, iPad o Mac. La firma belga de ciberseguridad ironPeak publicó la semana pasada un análisis explicando que se trataba de un fallo «zero-click»: bastaba recibir un iMessage manipulado para activarlo, sin que la víctima pulsase un enlace ni hiciese nada.

Ese tipo de bug es muy buscado por vendedores de vigilancia y fabricantes de software espía, precisamente porque no requiere interacción de la víctima. En este caso, además, la vulnerabilidad era capaz de saltarse BlastDoor, la protección que Apple implementó para evitar que código malicioso salga del sandbox de iMessage. Apple solucionó el problema en septiembre con el lanzamiento de iOS 27, iPadOS 27 y macOS 27, y atribuyó el descubrimiento a Niels Hofmans, de ironPeak, junto a investigadores de Meta que confirmaron el hallazgo.

Todavía no se sabe si ese fallo de iMessage se utilizó en ciberataques antes de ser corregido. Los dispositivos que ya ejecutan iOS 27, iPadOS 27 y macOS 27 no están afectados por el fallo gráfico bajo ataque, aunque también han recibido una actualización de software el martes.