Un Fallo Que No Le Pide Nada

Ningún enlace que pulsar, ningún archivo adjunto que abrir, ningún permiso que aprobar. El 17 de agosto de 2026, Apple confirmó que un fallo en ImageIO, el marco que casi todas las aplicaciones de iOS y macOS usan para decodificar fotos, podía permitir a un atacante ejecutar código arbitrario en el instante en que el dispositivo procesaba una imagen mal formada. Ver un mensaje, cargar una página web o incluso recibir un archivo en segundo plano bastaba para activarlo.

El fallo, registrado como CVE-2026-65346, es un desbordamiento de enteros: un cálculo dentro del código de decodificación de imágenes que puede forzarse más allá de sus límites previstos, corrompiendo la memoria de una forma que un atacante puede controlar. La corrección de Apple, según sus propias notas de seguridad, consistió en una validación de entrada mejorada, que cierra la brecha antes de que corrompa nada.

Se distribuyó dentro de iOS 26.6.1, iPadOS 26.6.1, macOS Tahoe 26.6.2 y visionOS 26.6.1, junto con una larga lista de otras correcciones en la misma actualización. Por sí sola, sería una línea más en un ciclo de parches rutinario. Lo que la hace merecedora de una segunda mirada es quién la encontró y hasta qué punto retrocedió Apple para aplicar el parche.

Por Qué También Se Actualizaron Los iPhones Antiguos

Apple mantiene dos vías de actualización a la vez para los dispositivos que sigue soportando pero ya no considera actuales: la línea de sistema operativo más reciente para el hardware nuevo, y una línea heredada para modelos que no pueden ejecutar el sistema más nuevo. La mayoría de las correcciones de seguridad llegan solo donde el fallo resultaba relevante, y las actualizaciones de la línea heredada se reservan para fallos que Apple considera lo bastante graves como para justificar el esfuerzo extra de ingeniería y pruebas sobre código antiguo.

Con este fallo, Apple hizo ambas cosas. Junto a iOS 26.6.1 para el iPhone 11 y posteriores, distribuyó iOS 18.7.10 y iPadOS 18.7.10 para el iPhone XS, XS Max, XR y el iPad de séptima generación, dispositivos que salieron a la venta por primera vez en 2018. Esa decisión ya es una señal en sí misma: el propio criterio técnico de Apple trató este fallo como lo bastante serio para justificar el parcheo de una rama del sistema operativo que normalmente actualiza con moderación.

Para una empresa europea que todavía tenga en su parque algún iPhone o iPad de la generación de 2018, ya sea como repuesto, como dispositivo de quiosco o simplemente como hardware que aún no se ha renovado, ese doble parche es la conclusión práctica: la corrección llegó a dispositivos que Apple no suele tocar, una señal más fuerte que la puntuación CVSS por sí sola.

El Detalle De Quién Lo Reportó

El fallo se atribuyó a Nik Tsytsarkin, del Red Team X de Meta. Red Team X es la unidad interna de seguridad ofensiva de Meta, creada específicamente para cazar la categoría de fallo que buscan los operadores comerciales de software espía: vulnerabilidades de corrupción de memoria alcanzables sin interacción del usuario, del tipo que se convierte en una herramienta de vigilancia de un clic o de clic cero si llega antes a las manos equivocadas. Su mandato de investigación es distinto de una simple recompensa por fallos precisamente porque está construido en torno a ese modelo de amenaza.

El aviso de Apple afirma que no hay evidencia de que el CVE-2026-65346 fuera explotado activamente antes del parche. Es un dato genuinamente tranquilizador, y conviene tomarlo tal cual, sin leer una historia peor entre líneas. Pero el origen del reporte le dice a una empresa algo que una simple puntuación de gravedad no dice: esta es exactamente la forma de fallo que buscan primero los proveedores de spyware, y aquí se encontró y se reportó antes de que llegara a ese mercado, no después.

Nada de esto cambia lo que hay que hacer, que es sencillo. Cualquier organización que gestione iPhones, iPads o Mac para su personal debería tratar esta actualización como una instalación de esta misma semana, no del próximo ciclo, y revisar específicamente el inventario de dispositivos en busca de los modelos de la generación de 2018 que necesitaron el parche separado de la línea heredada, porque son los más propensos a seguir ejecutando una versión antigua que un ciclo de renovación rutinario aún no ha alcanzado.

Leer a continuación: Una IA Encontró Nueve Fallos En El Navegador De Su Móvil  |  Alemania obliga a Apple a rehacer el aviso de rastreo