Apple ha lanzado un paquete de actualizaciones de seguridad a gran escala para sus sistemas, con el objetivo de cerrar 286 vulnerabilidades de seguridad descubiertas en las versiones más recientes de los sistemas operativos iOS y macOS. La importancia de estas actualizaciones destaca en la decisión de la compañía de trasladar un parche para una vulnerabilidad de día cero (Zero-day), que ya había sido explotada en ataques complejos, para incluir versiones anteriores de iOS 18.
Detalles de las vulnerabilidades descubiertas
Las actualizaciones incluyeron la versión macOS Golden Gate 27.2, que solucionó 263 vulnerabilidades, mientras que la actualización de iOS y iPadOS 27.2 abordó cerca de 163 vulnerabilidades, observándose que alrededor de 140 de estas son comunes a ambos sistemas. Las correcciones en los sistemas iOS y iPadOS se centraron en abordar errores de corrupción de memoria (Memory Corruption) en el motor WebKit, el núcleo (Kernel) y los componentes responsables del procesamiento de imágenes, fuentes, archivos PDF y multimedia. Estas vulnerabilidades abrían la puerta a que los atacantes ejecutaran código arbitrario (Arbitrary Code Execution) en los dispositivos.
Las actualizaciones también incluyeron la resolución de vulnerabilidades que permitían a las aplicaciones acceder a datos confidenciales del usuario, eludir las preferencias de privacidad, además de vulnerabilidades de escape de entorno aislado (Sandbox Escapes), problemas en el protocolo Kerberos y una vulnerabilidad que podría permitir a un atacante cercano acceder a una red Thread.
Riesgos de escalada de privilegios en macOS
Para los usuarios de macOS, la actualización abordó más de 12 vulnerabilidades relacionadas con la escalada de privilegios (Privilege Escalation), las cuales podrían otorgar a las aplicaciones privilegios de acceso de root (Root Access). Las correcciones también incluyeron la resolución de vulnerabilidades en Gatekeeper, problemas de corrupción de memoria en componentes del sistema de archivos, además de cerrar vulnerabilidades en los servicios de gestión remota (Remote Management) y SMB que podrían ser explotadas a través de la red local o de forma remota para ejecutar código arbitrario.
Resolución de la vulnerabilidad de día cero (Zero-day)
En una medida proactiva, Apple trasladó el parche de la vulnerabilidad CVE-2026-86950 a la versión iOS 18.7.11. Esta vulnerabilidad, descubierta por el equipo de seguridad de Meta, había sido explotada en ataques descritos por Apple como "altamente sofisticados". Aunque las versiones más recientes de iOS y macOS (versión 27) no parecen estar afectadas por esta vulnerabilidad, el traslado del parche a versiones anteriores garantiza la protección de los usuarios que aún no han migrado a los sistemas más nuevos.
¿Qué significa esto para los usuarios?
Estas actualizaciones no se limitan a cerrar vulnerabilidades rutinarias, sino que representan una respuesta a ataques activos que han tenido como objetivo los dispositivos de los usuarios. Es esencial que los usuarios de iPhone, iPad y Mac se aseguren de instalar las versiones más recientes disponibles de inmediato, especialmente dado que algunas vulnerabilidades permiten el control remoto del dispositivo o el acceso a datos de privacidad confidenciales sin el conocimiento del usuario. Las actualizaciones también incluyen otros sistemas como tvOS, watchOS, visionOS y Safari para garantizar un ecosistema de seguridad integrado.