Una falla de CoreGraphics podría ejecutar código al procesar un archivo malicioso

Apple corrigió la vulnerabilidad CVE-2026-86950, una falla de escritura fuera de límites en CoreGraphics, el componente que interviene en el procesamiento de gráficos. Si un iPhone, iPad o Mac vulnerable procesa un archivo manipulado con fines maliciosos, la falla podría permitir que se ejecute código en el dispositivo. Apple afirma conocer un informe según el cual el problema podría haberse aprovechado en un ataque «extremadamente sofisticado» contra personas concretas; eso no significa que todos los equipos afectados hayan sido atacados. 1239

¿Qué versiones y dispositivos están afectados?

Las versiones vulnerables indicadas son iOS y iPadOS anteriores a 26.7.1, macOS Sequoia anterior a 15.8.1 y macOS Tahoe anterior a 26.7.1. Apple publicó las correcciones el 28 de septiembre de 2026, incluidas en iOS 26.7.1, iPadOS 26.7.1, macOS Sequoia 15.8.1 y macOS Tahoe 26.7.1. 123

Para iOS y iPadOS, Apple enumera estas familias de dispositivos compatibles:

• iPhone 11 y posteriores.
• iPad Pro de 12,9 pulgadas (tercera generación y posteriores) y iPad Pro de 11 pulgadas (primera generación y posteriores).
• iPad Air (tercera generación y posteriores), iPad (octava generación y posteriores) y iPad mini (quinta generación y posteriores). 1

Los avisos de macOS identifican las versiones afectadas de Sequoia y Tahoe, pero no ofrecen una lista de modelos de Mac. Comprueba qué versión tienes instalada y aplica la actualización que el sistema te ofrezca. 23

La alerta de Apple sobre los ataques menciona versiones de iOS anteriores a iOS 27. Esto describe las versiones citadas en el informe de explotación; no demuestra que todos los dispositivos con software anterior hayan sido objetivo. 19

¿Cómo podría aprovecharse la falla?

El escenario descrito por Apple es el procesamiento de un archivo manipulado con fines maliciosos. En un dispositivo vulnerable, eso podría llevar a la ejecución de código arbitrario, es decir, permitir que un atacante haga funcionar código en el equipo. Los avisos disponibles no especifican un formato de archivo ni explican cómo llegaría el archivo a la persona afectada o cómo se procesaría. Por eso, no hay base aquí para atribuir el problema a un tipo concreto de imagen, documento o método de envío. 1239

Qué se sabe sobre las alertas de seguridad

La Base de Datos Nacional de Vulnerabilidades de Estados Unidos (NVD), mantenida por el NIST, recoge la descripción del impacto, las versiones afectadas y la advertencia de Apple sobre posibles ataques muy sofisticados contra personas concretas. 9

Un medio especializado informó que la Agencia de Ciberseguridad y Seguridad de las Infraestructuras de Estados Unidos (CISA) añadió la vulnerabilidad a su catálogo de fallas explotadas. Sin embargo, los resultados de CISA disponibles en las fuentes consultadas no incluyen una ficha individual que confirme esa noticia; por tanto, conviene presentarla como un reporte periodístico, no como una confirmación verificada aquí. 19

Medios de India informaron que el equipo CERT-In emitió una alerta de gravedad alta y recomendó instalar las actualizaciones cuanto antes. El material disponible no incluye el aviso original de CERT-In, así que no es posible comprobar aquí el detalle de sus instrucciones. 1213

Cómo instalar la actualización

Instala la versión más reciente que aparezca para cada dispositivo:

• iPhone o iPad: ve a Configuración → General → Actualización de software.
• Mac: abre Configuración del Sistema → General → Actualización de software.

Apple también mantiene una página con sus actualizaciones de seguridad y los avisos correspondientes. 1234

Mientras actualizas el equipo, es prudente no procesar archivos inesperados, en particular si proceden de remitentes desconocidos. Es una precaución temporal, no sustituye la instalación del parche ni demuestra que un formato de archivo específico sea el responsable. 19

iOS 27.0.1 corrige otros problemas

Las correcciones incluidas en iOS 27.0.1 son independientes de CVE-2026-86950. Apple señala que la actualización soluciona reinicios inesperados en el iPhone 18 Pro y el iPhone 18 Pro Max cuando Face ID no logra autenticar, un posible artefacto de color en ciertas fotos tomadas con zoom 2× en una cantidad reducida de esos modelos y un problema que podía dejar la pantalla táctil sin respuesta al abrir a la vez el Centro de notificaciones y el Centro de control.