- Apple publica una actualización urgente para iOS 26.7.1, iPadOS 26.7.1 y macOS 26.7.1 que tapa CVE-2026-86950 en CoreGraphics.
- La firma reconoce que el fallo pudo usarse en ataques muy elaborados contra personas concretas, no en un ataque masivo.
- Un segundo fallo, CVE-2026-86869, era zero-click vía iMessage y podía saltarse BlastDoor; quedó corregido con iOS 27.
- Casi cuatro de cada cinco iPhones siguen en iOS 26, por lo que actualizar o activar parches automáticos reduce la exposición.
Apple ha tenido que sacar un parche de emergencia para iOS 26, iPadOS 26 y macOS 26 después de que se detectara un zero-day que ya se estaba usando contra personas concretas. La compañía ha explicado que el fallo, identificado como CVE-2026-86950, se encontraba en CoreGraphics, el motor gráfico que se encarga de dibujar la interfaz y buena parte de lo que aparece en pantalla.
La situación no es un ataque masivo, pero tampoco es algo que se pueda ignorar. Cuatro de cada cinco iPhones siguen con iOS 26, según los datos que Apple comparte con desarrolladores, así que una mayoría del parque instalado aún depende de instalar la versión corregida para cerrar la puerta al exploit. En Europa, y en España en particular, eso afecta tanto a usuarios particulares como a empresas que no han migrado todavía a iOS 27.
Un fallo en CoreGraphics que abre la puerta a código arbitrario
El agujero está en un componente sensible: CoreGraphics tiene acceso amplio al sistema porque necesita renderizar la interfaz, los gráficos y contenido de muchas aplicaciones. Según el aviso de Apple, el error podría permitir la ejecución de código arbitrario, lo que a su vez facilitaría el robo de datos personales o el control del equipo.
Apple ha acreditado el hallazgo al equipo de seguridad de producto de Meta, un detalle que ha llamado la atención porque Meta ha estado en el centro de varias polémicas sobre privacidad. La empresa no ha dado cifras de víctimas ni ha detallado quién estaría detrás de la explotación, y ni Apple ni Meta han respondido públicamente a preguntas sobre el alcance real del ataque.
El lenguaje que usa la compañía de Cupertino invita a pensar en un ataque selectivo: habla de objetivos concretos y un método muy elaborado, el patrón habitual cuando hay spyware mercenario de por medio. Es decir, no parece un intento de infectar a millones de usuarios a la vez, sino una herramienta dirigida a periodistas, activistas, directivos, funcionarios o disidentes con información sensible.
Aun así, la exposición potencial es enorme. Si casi cuatro de cada cinco iPhones siguen en iOS 26, cualquier fallo explotado en esa rama deja un colectivo muy amplio de dispositivos vulnerables. Por eso los expertos insisten en que actualizar no es solo una recomendación de manual: es la principal barrera práctica mientras no haya más detalles técnicos.
El segundo zero-day: iMessage sin tocar nada
Además del fallo de CoreGraphics, hay otro problema que Apple ya corrigió con iOS 27. Se trata de CVE-2026-86869, un zero-click que podía activarse a través de un iMessage manipulado sin que la víctima tuviera que pulsar nada. La firma belga ironPeak publicó un análisis técnico en el que explicaba que el exploit lograba saltarse BlastDoor, la protección que Apple diseñó para evitar que el código malicioso saliera del entorno aislado de iMessage.
Los fallos de este tipo son muy cotizados en el mercado del spyware. Que un ataque no requiera interacción del usuario y además consiga evadir una barrera específica como BlastDoor eleva su valor para grupos que venden herramientas a gobiernos o a clientes con recursos. Apple acreditó el descubrimiento a Niels Hofmans, de ironPeak, y a investigadores de seguridad de Meta que confirmaron los hallazgos.
No hay confirmación pública de que este segundo agujero se usara en ataques reales antes de ser parcheado. Lo que sí se sabe es que quedó resuelto con iOS 27, iPadOS 27 y macOS 27, la versión que Apple publicó a mediados de septiembre. Para quien siga en iOS 26, la actualización de emergencia 26.7.1 cubre el fallo de CoreGraphics, pero el salto completo a iOS 27 sigue siendo la opción más segura.
Qué conviene hacer en España y en el resto de Europa
La recomendación básica vale igual en Madrid, Barcelona, Berlín o París: comprobar la versión del sistema y actualizar en cuanto sea posible. En iPhone, basta con entrar en Ajustes, ir a General y abrir Actualización de software. Si el dispositivo está en la rama de iOS 26, el objetivo es instalar iOS 26.7.1; si ya se puede dar el salto, lo lógico es pasar a iOS 27.
En entornos corporativos, el riesgo no depende del tamaño de la empresa. Un equipo directivo con información financiera, propiedad intelectual o datos de clientes puede ser un objetivo igual de interesante que una gran compañía. Por eso conviene revisar todos los dispositivos de la plantilla, activar las actualizaciones automáticas y no dejar iPhones o iPads sin parchear durante semanas.
En el caso de los Mac, el fallo también afecta a macOS 26, así que los equipos que siguen en esa rama necesitan la corrección correspondiente. La vulnerabilidad no distingue entre un dispositivo de empresa y uno personal: si el sistema no está actualizado, la exposición es la misma. Revisar el parque de equipos y forzar la instalación del parche es una medida básica para cualquier organización.
El negocio que hay detrás de los zero-day
El mercado de vulnerabilidades zero-day mueve miles de millones al año y funciona con reglas poco claras. Los fabricantes de spyware y algunos gobiernos pagan cantidades que los programas de recompensas de las tecnológicas difícilmente igualan, lo que alimenta un ciclo que se repite: se descubre un fallo, se lanza el parche y los atacantes buscan el siguiente.
Que Apple haya respondido en poco tiempo habla bien de su proceso de seguridad, pero también confirma que los atacantes llevaban ventaja. El fallo de CoreGraphics estaba siendo explotado antes de que existiera una corrección pública, y el de iMessage demuestra que las protecciones más técnicas también pueden caer si el atacante tiene recursos suficientes.
Para la mayoría de usuarios, la conclusión práctica no cambia demasiado: no hay que entrar en pánico, pero tampoco conviene confiarse. Mantener el sistema operativo al día sigue siendo la defensa más sencilla y eficaz frente a este tipo de amenazas, incluso cuando el ataque está dirigido a un grupo reducido.
Actualizar a tiempo sigue siendo la medida más eficaz para la mayoría. Apple ha corregido el zero-day de CoreGraphics con una versión de emergencia para quienes siguen en iOS 26 y ya había cerrado el fallo zero-click de iMessage con iOS 27. Con casi cuatro de cada cinco iPhones todavía en la rama anterior, revisar la versión del sistema y aplicar el parche cuanto antes reduce un riesgo que, aunque selectivo, no conviene dejar abierto en España ni en el resto de Europa.
