Apple parchea un día cero en iOS que ya usaban en ataques contra objetivos puntuales
Apple lanzó anoche una tanda de parches de emergencia para tapar una falla de seguridad en CoreGraphics, el motor gráfico que usan iOS, iPadOS y macOS para procesar imágenes y documentos, después de confirmar que ya la estaban explotando activamente contra un grupo acotado de usuarios.
La reportó el equipo de seguridad de Meta, y Apple la describe con una frase que no usa a la ligera: la vincula a un “ataque extremadamente sofisticado” contra individuos puntuales, el tipo de lenguaje que la compañía suele reservar para campañas de spyware tipo Pegasus, no para malware masivo.
La vulnerabilidad, catalogada como CVE-2026-86950, es un error de escritura fuera de los límites de memoria: si el sistema procesa un archivo armado a propósito por un atacante (una imagen, un PDF, cualquier cosa que pase por CoreGraphics), puede terminar ejecutando código arbitrario en el dispositivo. La reportó el equipo de seguridad de Meta, y Apple la describe con una frase que no usa a la ligera: la vincula a un “ataque extremadamente sofisticado” contra individuos puntuales, el tipo de lenguaje que la compañía suele reservar para campañas de spyware tipo Pegasus, no para malware masivo.
Los parches ya están disponibles: iOS 26.7.1 y iPadOS 26.7.1 para iPhone 11 en adelante y varios modelos de iPad, más macOS Tahoe 26.7.1 y macOS Sequoia 15.8.1 para Mac. Si tenés alguno de estos equipos, la recomendación es simple y no da lugar a demoras: actualizar ya, no dejarlo para el fin de semana. Cuando Apple confirma explotación activa de un día cero apuntado a blancos específicos, la ventana entre el parche público y que otros grupos repliquen el exploit contra usuarios comunes suele cerrarse rápido.
No es la primera vez que CoreGraphics da dolores de cabeza: el framework maneja gráficos en casi todo lo que corre software de Apple, así que cualquier bug ahí tiene superficie de ataque enorme. Por ahora la compañía no dio detalles sobre quién está detrás del ataque ni a quiénes apuntó puntualmente.
