iOS 26.7.1 corrige la falla que dejaba tomar tu iPhone con un solo archivo trampa

Apple lanzó iOS 26.7.1 para cerrar una vulnerabilidad en CoreGraphics, el componente del sistema que procesa imágenes y abre archivos PDF, que permitía que un solo archivo manipulado ejecutara el código de un atacante en un iPhone o iPad. La compañía afirma que es posible que la falla ya se haya utilizado contra personas específicas. Si tu teléfono todavía usa iOS 26 en lugar de iOS 27, esta es la actualización que debes instalar hoy.

El riesgo está en algo que todos los teléfonos hacen constantemente y sin pedirte permiso. Las fotos, los archivos PDF, las vistas previas en un chat y los adjuntos de un correo electrónico: todos pasan por CoreGraphics antes de aparecer en la pantalla. Una falla en ese nivel significa que la víctima no tiene que instalar nada sospechoso. Abrir un archivo trampa, o simplemente mostrarlo en pantalla, puede bastar para entregar el control del dispositivo.

Apple describe el error como una escritura fuera de límites: un fallo de programación que permite que los datos se salgan del espacio de memoria que debían ocupar y sobrescriban el código que el atacante quiere reemplazar. Según Apple, la solución incorpora una verificación de límites mejorada. La compañía afirma estar al tanto de un informe según el cual el problema pudo haberse aprovechado en un ataque extremadamente sofisticado contra personas específicas y seleccionadas como objetivo, en versiones de iOS anteriores a iOS 27.

La falla fue reportada a Apple por el equipo de seguridad de productos de Meta, que también protege WhatsApp, Instagram y Facebook Messenger, tres aplicaciones que procesan enormes cantidades de imágenes y archivos todos los días. Ninguna de las dos compañías ha dicho quiénes fueron los objetivos, cuántas personas resultaron afectadas ni quién estuvo detrás del ataque, según informó TechCrunch.

Apple ha usado esa misma expresión —un ataque extremadamente sofisticado contra personas específicas y seleccionadas como objetivo— en casos anteriores vinculados con programas espía comerciales dirigidos a periodistas, activistas y funcionarios, y no a infecciones masivas. Para la mayoría de los dueños de un iPhone, el peligro real es menor. El problema es que, una vez que se hace pública una actualización de seguridad, investigadores y delincuentes pueden estudiar los cambios e intentar reconstruir el exploit, así que, durante las semanas siguientes, los teléfonos sin actualizar se vuelven objetivos más fáciles.

La actualización no corrige todos los vacíos. El aviso de Apple incluye el iPhone 11 y los modelos posteriores, por lo que los dueños de modelos más antiguos que no pueden usar iOS 26 no reciben una solución con esta versión. Ninguno de los informes publicados hasta ahora menciona un parche para las Mac con versiones anteriores a Sequoia. Además, quienes corren un riesgo real de ser blanco de ataques necesitan algo más que una actualización: el Modo de aislamiento de Apple, que desactiva muchas vistas previas de archivos y tipos de adjuntos, existe precisamente para ataques de esta clase.

iOS 27 no está afectado, lo que simplifica la decisión. Funciona en los mismos teléfonos que iOS 26, desde el iPhone 11 en adelante, así que todos los dispositivos cubiertos por este parche también pueden instalar la actualización completa. Muchos dueños esperan unas semanas antes de instalar una versión importante para evitar errores iniciales o problemas con la batería; esta solución les permite quedarse donde están sin quedar expuestos. Una falla distinta de iMessage que no requería tocar nada, descubierta por la firma belga ironPeak, ya se había corregido en iOS 27 a principios de este mes, según TechCrunch.

Los parches abarcan más que los teléfonos. Apple lanzó iOS 26.7.1 y iPadOS 26.7.1 el 28 de septiembre, junto con macOS Tahoe 26.7.1 y macOS Sequoia 15.8.1 para las Mac. En el iPad, la solución llega al iPad Pro de 12.9 pulgadas de tercera generación en adelante, al iPad Pro de 11 pulgadas desde la primera generación, al iPad Air desde la tercera, al iPad estándar desde la octava y al iPad mini desde la quinta. La actualización está disponible en todo el mundo desde Configuración, luego General y después Actualización de software; en una Mac, se instala desde Configuración del Sistema.

La falla tiene el identificador CVE-2026-86950. Apple no ha dicho si publicará más detalles y rara vez los comparte cuando todavía está investigando ataques. La única defensa que ofrece es la que ya aparece en la pantalla de Actualización de software.

Etiquetas: ciberseguridad, Apple, meta, iphone, CoreGraphics, iOS 26.7.1