- Apple corrige una vulnerabilidad de alto riesgo de tipo “zero-day” en CoreGraphics que, según se informa, fue explotada contra personas específicas
- La vulnerabilidad permite la ejecución de código arbitrario a través de archivos diseñados maliciosamente en los dispositivos Apple afectados
- Apple instó a los usuarios a instalar las últimas actualizaciones de seguridad, especialmente a los objetivos de alto valor que enfrentan ataques sofisticados
Apple ha lanzado una corrección para una vulnerabilidad de día cero que, según afirma, fue supuestamente utilizada «en un ataque extremadamente sofisticado contra personas específicas».
La vulnerabilidad se detectó en iOS 26.7.1 y iPadOS 26.7.1, y se recomienda a los usuarios que apliquen la corrección lo antes posible. Esto es particularmente importante para objetivos de alto perfil, como diplomáticos, disidentes, denunciantes, miembros de la oposición política y periodistas.
Día cero
La vulnerabilidad se detectó en CoreGraphics, el marco de trabajo de gráficos 2D de bajo nivel de la empresa que se utiliza en diferentes plataformas (iOS, iPadOS, macOS y otras). CoreGraphics proporciona a los desarrolladores las herramientas que necesitan para dibujar y renderizar elementos visuales (líneas, formas, imágenes e incluso texto), y puede manejar operaciones como colores, transparencia, degradados, recorte, etc. Por lo general, se utiliza cuando los desarrolladores necesitan un control más preciso sobre cómo se dibuja algo.
La vulnerabilidad se registra con el número CVE-2026-86950 y tiene una calificación de gravedad de 8.8/10 (alta). La Base de Datos Nacional de Vulnerabilidades (NVD) la describe como un problema de salida de límites que permite a los actores maliciosos ejecutar código arbitrario a través de un archivo creado con fines maliciosos. El error también puede ser explotado para bloquear programas y corromper datos. Además de en iOS y iPadOS, también se corrigió en macOS Sequoia 15.8.1 y en macOS Tahoe 26.7.1.
Esta es la lista completa de dispositivos afectados:
iPhone 11 y posteriores
iPad Pro de 12.9 pulgadas, 3.ª generación y posteriores
iPad Pro de 11 pulgadas, 1.ª generación y posteriores
iPad Air, 3.ª generación y posteriores
iPad de 8.ª generación y posteriores
iPad mini de 5.ª generación y posteriores
Dispositivos Mac que ejecutan macOS Sequoia 15.8.1 y Tahoe 26.7.1
Apple lo corrigió con una verificación de límites mejorada, según se indicó en el aviso de seguridad.
Vulnerabilidad explotada en ataques "extremadamente sofisticados"
Lo que hace que esta vulnerabilidad destaque entre la gran cantidad de zero-days es la manera en que Apple describió los intentos de explotación que se han observado.
«Apple tiene conocimiento de un reporte según el cual este problema podría haber sido explotado en un ataque extremadamente sofisticado contra personas específicas y seleccionadas como objetivo en versiones de iOS anteriores a iOS 27». No sabemos a qué reporte se refiere Apple; no pudimos encontrar a nadie que estuviera hablando al respecto. La compañía solo señaló que el fallo fue reportado por Meta Product Security.
Sin embargo, esto podría ser deliberado. Los ataques de alto perfil suelen atraer la atención de muchas personas, así como un mayor interés de otros actores de amenazas que buscan explotar vulnerabilidades zero-day. Apple tiene la costumbre de ocultar los detalles de las vulnerabilidades hasta tener la certeza de que una mayoría significativa de los dispositivos afectados ya ha sido parcheada.
La expresión «ataques extremadamente sofisticados contra personas específicas y seleccionadas como objetivo» también es una frase que Apple suele utilizar para referirse a ataques de espionaje patrocinados por Estados contra diplomáticos y políticos, objetivos de alto valor como directores ejecutivos de empresas tecnológicas, periodistas, opositores políticos y disidentes, entre otros casos similares. Aunque no se menciona en el reporte, empresas tecnológicas como Apple y Google suelen notificar a las víctimas cuando son objetivo de este tipo de ataques.
La última vez que Apple utilizó una redacción similar fue en febrero de 2026, cuando corrigió la vulnerabilidad CVE-2026-20700. En aquel incidente tampoco habló sobre los atacantes ni las víctimas, pero sabemos que fue descubierta por el Threat Analysis Group (TAG) de Google, un departamento encargado principalmente de investigar campañas de hackeo patrocinadas por Estados.
CVE-2026-86950 es ahora la segunda vulnerabilidad zero-day que la compañía corrige este año. El año pasado, Apple solucionó siete vulnerabilidades zero-day que estaban siendo explotadas activamente: CVE-2025-24085, CVE-2025-24200, CVE-2025-24201, CVE-2025-31200, CVE-2025-31201, CVE-2025-43529 y CVE-2025-14174.
Dada la gravedad del fallo y las posibilidades que ofrece para su explotación, se recomienda a los usuarios instalar los parches sin demora. Los usuarios de Apple que tengan activadas las actualizaciones automáticas deberían recibir la corrección de seguridad automáticamente, pero quienes todavía no hayan actualizado deben comprobar manualmente la disponibilidad del parche en Configuración → General → Actualización de software e instalar iOS/iPadOS 26.7.1.
A través BleepingComputer
Sigue a TechRadar en Google Noticias y añádenos como fuente preferida para recibir nuestras noticias, reseñas y opiniones de expertos en tus feeds.
