- Apple publica una actualización de emergencia para la familia iOS 26, iPadOS 26 y macOS 26 que corrige CVE-2026-86950, un fallo en CoreGraphics.
- El fallo habría sido explotado en ataques muy sofisticados contra individuos concretos, no contra el gran público.
- Casi cuatro de cada cinco iPhones siguen en iOS 26, por lo que la actualización es clave para reducir la exposición.
- Un segundo bug zero-click, CVE-2026-86869, ya fue corregido con iOS 27 tras saltarse BlastDoor en iMessage.
Apple ha vuelto a mover ficha en materia de seguridad. La compañía ha publicado una actualización de emergencia para la familia iOS 26, iPadOS 26 y macOS 26 con el objetivo de cerrar una vulnerabilidad que, según sus propios avisos, podría haber sido aprovechada en ataques muy sofisticados. El fallo, registrado como CVE-2026-86950, afecta a CoreGraphics, el motor gráfico que se encarga de dibujar la interfaz y buena parte de los elementos visuales en iPhone, iPad y Mac. Aunque Apple no suele dar muchos detalles, sí ha reconocido que el problema estaba en versiones anteriores a iOS 27.
El aviso llega en un momento delicado porque casi cuatro de cada cinco iPhones siguen con iOS 26, según las estadísticas para desarrolladores que maneja Apple. Eso significa que una mayoría muy amplia del parque instalado todavía podría estar expuesta si no aplica el parche. La recomendación, tanto en España como en el resto de Europa, es actualizar cuanto antes: bien a iOS 27, bien a la versión de emergencia de la rama 26.7.1. No es un ataque masivo, pero los expertos insisten en que la actualización elimina el riesgo.
Un fallo en CoreGraphics con explotación activa
El problema bautizado como CVE-2026-86950 se encuentra en CoreGraphics, una pieza clave del sistema. Según los avisos de Apple, el fallo podía derivar en ejecución de código arbitrario, lo que abriría la puerta a robar datos o comprometer el dispositivo. La compañía ha acreditado el descubrimiento al equipo de seguridad de producto de Meta, un dato que ha llamado la atención porque Meta es también una de las empresas más señaladas en los debates sobre privacidad y uso de datos.
Sobre el perfil de las víctimas, Apple utiliza la fórmula de «individuos específicos» y «ataques extremadamente sofisticados». Es el lenguaje habitual cuando hay indicios de spyware mercenario o actores estatales contra objetivos de alto valor: periodistas, activistas, directivos, funcionarios o disidentes. No se trata, por tanto, de una campaña indiscriminada contra usuarios corrientes, pero el alcance potencial preocupa porque el motor gráfico tiene acceso amplio al resto del sistema y podría exponer una amplia gama de datos personales del dispositivo.
La segunda parte del aviso tiene que ver con CVE-2026-86869, un fallo distinto que fue corregido antes con iOS 27. Se trata de un bug «zero-click» que podía activarse mediante un iMessage malicioso sin que la víctima pulsara ningún enlace ni abriera ningún archivo. La firma belga ironPeak publicó un análisis técnico en el que explicaba que la vulnerabilidad era capaz de saltarse BlastDoor, la protección que Apple diseñó para impedir que el código malicioso escapara del entorno aislado de iMessage.
Zero-click, BlastDoor y el negocio del spyware
Los fallos que evitan BlastDoor son muy cotizados en el mercado del spyware. Permiten robar información sin interacción del usuario y se venden a gobiernos y agencias que buscan herramientas de vigilancia. Apple corrigió CVE-2026-86869 con el lanzamiento de iOS 27 y acreditó a Niels Hofmans, de ironPeak, junto a investigadores de seguridad de Meta que confirmaron los hallazgos. No hay confirmación pública de que este segundo bug se usara en ataques reales antes del parche, pero su sola existencia explica por qué la compañía ha acelerado las actualizaciones.
El contexto industrial tampoco ayuda. El mercado de zero-days mueve miles de millones de dólares al año y opera en un vacío regulatorio considerable. Gobiernos, fabricantes de spyware y grupos criminales pagan cantidades que los programas de recompensas de las tecnológicas difícilmente igualan, y el ciclo se repite: se descubre el fallo, se publica el parche y los atacantes buscan el siguiente. Es una industria global que no deja de buscar nuevas vías de entrada.
Para el usuario de a pie, la conclusión práctica es sencilla: actualizar el sistema operativo. Aplicar el parche desde los ajustes del dispositivo es el paso más importante. Si ya está en iOS 27, está protegido frente a CVE-2026-86950; si sigue en la rama 26, conviene instalar iOS 26.7.1 o dar el salto a la versión más reciente. En entornos corporativos, los especialistas recomiendan revisar versiones, activar actualizaciones automáticas y, en perfiles sensibles, considerar el modo de bloqueo.
La situación también deja una paradoja incómoda: Meta ha encontrado dos de los fallos más delicados que Apple ha parcheado en las últimas semanas, mientras sigue en el centro de las críticas por sus políticas de datos. En seguridad, detectar vulnerabilidades y proteger la privacidad comercial no son lo mismo, pero la coincidencia temporal alimenta el debate sobre hasta qué punto las grandes tecnológicas priorizan unas amenazas y no otras. Para España y Europa, donde el uso de iPhone y iPad está muy extendido en empresas y administraciones, la recomendación no cambia: no dejar el sistema sin actualizar.
El parche de emergencia para iOS 26.7.1, dentro de la familia iOS 26, iPadOS 26 y macOS 26, tapa una vulnerabilidad en CoreGraphics que ya habría sido explotada contra objetivos concretos, mientras que el fallo zero-click CVE-2026-86869 quedó resuelto con iOS 27. La mayoría del parque sigue en iOS 26, así que revisar la versión, activar las actualizaciones y no confiarse es la defensa más realista frente a un mercado de spyware que no deje de buscar nuevas puertas de entrada.
Editor profesional de Tecnología y Software