El 30 de septiembre de 2026, investigadores de la empresa Calif publicaron el primer proof-of-concept público para la vulnerabilidad CVE-2026-86950, un error de escritura fuera de los límites del búfer (out-of-bounds write, CWE-787) en el framework Apple CoreGraphics. Apple solucionó el problema el 28 de septiembre, indicando que “podía haberse utilizado en ataques extremadamente complejos contra objetivos concretos” en versiones de iOS anteriores a iOS 27. La vulnerabilidad afecta a iPhone, iPad y Mac; los parches están disponibles en iOS 26.7.1, iPadOS 26.7.1, macOS Tahoe 26.7.1 y macOS Sequoia 15.8.1. Ya habíamos escrito sobre esta vulnerabilidad en el momento de la publicación del parche; ahora han aparecido nuevos detalles técnicos y preguntas sobre un posible vector de entrega.
La esencia técnica de la vulnerabilidad
CoreGraphics es el framework de sistema de Apple para renderizado 2D, representación de imágenes y procesamiento de PDF. Según el informe de los investigadores de Calif, al comparar los binarios de iOS 26.7 y 26.7.1 se descubrió que CoreGraphics era la única biblioteca modificada, y que la misma corrección se había aplicado más de 20 veces en ocho funciones del rasterizador.
La raíz del fallo está en el tratamiento inconsistente de las coordenadas de los glifos al convertirlas de un formato de coma flotante a un valor de 32 bits de punto fijo. Dos de las ocho funciones gestionaban el desbordamiento del rango permitido de forma distinta: una saturaba el resultado, la otra lo truncaba. Esto hacía que el rectángulo delimitador (bounding box) del glifo resultara más estrecho de lo debido. CoreGraphics reservaba un búfer de trabajo de menor tamaño y, a continuación, escribía datos fuera de sus límites.
Según la GitHub Advisory Database, la vulnerabilidad recibió una puntuación de CVSS 8.8 (High). Apple no publica puntuaciones CVSS en sus boletines.
Qué muestra el PoC — y qué no muestra
Para activar el fallo, los investigadores crearon una fuente TrueType con coordenadas lo suficientemente grandes como para provocar un desbordamiento y la incrustaron en un archivo PDF. El escalado anidado de glifos compuestos mediante la matriz de texto lleva las coordenadas más allá del límite permitido. Según el informe, los scripts de generación y un PDF de muestra están alojados en un repositorio público en GitHub.
Aquí es fundamental hacer una distinción: el PoC publicado provoca un fallo (crash) controlado y demuestra una escritura fuera de los límites del búfer, pero no muestra la ejecución de código arbitrario. Los investigadores de Calif señalan explícitamente que convertir este primitivo en un exploit funcional es una tarea aparte que su análisis no resuelve. Al mismo tiempo, Apple afirma en su boletín que el procesamiento de un archivo malicioso “podía dar lugar a la ejecución de código arbitrario”. Esta discrepancia no constituye una contradicción: Apple describe el impacto potencial de la vulnerabilidad y Calif delimita el alcance de su demostración.
Los investigadores también indican que no recibieron la muestra del exploit utilizado en ataques reales y que no pueden decir cómo completaban los atacantes la cadena de explotación. No se han publicado indicadores de red, identificadores de los atacantes ni nombres de cargas útiles.
La hipótesis sobre WhatsApp: indicios indirectos, no una prueba
La cuestión del posible vector de entrega merece una atención aparte. Apple señaló a Meta Product Security como fuente del descubrimiento de la vulnerabilidad, lo que llevó a Calif a estudiar WhatsApp. Al comparar dos versiones del mensajero (26.37.73 y 26.38.74), los investigadores encontraron código nuevo en el escáner de adjuntos Kaleidoscope: la versión más reciente comprueba los archivos PDF en busca de flujos de fuentes incrustados y marca los sospechosos con las etiquetas MalformedFontProgram, UndecodableFontProgram y UnverifiedFontProgram, bloqueando el análisis automático de los archivos marcados.
Calif describió estos cambios como indicios indirectos que apuntan a WhatsApp como posible vector de entrega. Sin embargo, el análisis publicado no probó el camino de entrega a través de WhatsApp. Es más, la versión inicial del informe contenía una afirmación sobre la posibilidad de entrega a través del mensajero, pero fue eliminada 85 minutos después de la publicación; el CEO de Calif, Thai Duong, describió la modificación como la eliminación de especulaciones sobre WhatsApp.
La formulación final de Calif deja abierta la cuestión de si la vulnerabilidad “se combinó con vulnerabilidades adicionales en WhatsApp para conseguir el análisis con menos interacción del usuario”. Esta formulación implica que la vía estudiada requeriría acciones del usuario o vulnerabilidades adicionales en la cadena. WhatsApp no ha publicado boletines que relacionen este fallo con sus productos. Meta no respondió a las solicitudes de los periodistas antes de la publicación.
Asimetría en la descripción de las versiones afectadas
Conviene prestar atención a la asimetría en los boletines de Apple. La empresa limita explícitamente la descripción de la explotación a versiones de iOS anteriores a iOS 27, mientras que iOS 27 y macOS Golden Gate 27 no figuran como afectados. Sin embargo, se han publicado correcciones para dos ramas de macOS — macOS Tahoe 26.7.1 y macOS Sequoia 15.8.1 — sin especificar qué versiones concretas de macOS eran vulnerables. Esto deja un margen de incertidumbre para los administradores de parques de macOS.
Respuesta y plazos
CISA incluyó CVE-2026-86950 en el catálogo KEV el 29 de septiembre de 2026, fijando como fecha límite para los organismos federales de EE. UU. el 2 de octubre. En la práctica, esto dejaba a las agencias una ventana mínima para aplicar el parche. Apple no indicó si Lockdown Mode bloquea el vector de entrega utilizado en los ataques documentados.
Recomendaciones
- Actualice de inmediato los dispositivos Apple a iOS/iPadOS 26.7.1, macOS Tahoe 26.7.1 o macOS Sequoia 15.8.1; se ha confirmado que la vulnerabilidad se explota en ataques reales.
- Priorice los dispositivos con iOS por debajo de 27; es precisamente para ellos para los que Apple confirma la explotación.
- Actualice WhatsApp a la versión 26.38.74 o posterior; en ella se han añadido comprobaciones adicionales de fuentes incrustadas en adjuntos PDF, aunque la relación con CVE-2026-86950 no está confirmada oficialmente.
- Para los dispositivos que no puedan actualizarse de inmediato: Apple no ha descrito soluciones temporales. Considere restringir el procesamiento de archivos PDF procedentes de fuentes no confiables a nivel de políticas MDM.
La publicación del PoC aumenta la probabilidad de que otros investigadores —o atacantes— puedan reproducir y perfeccionar el primitivo de escritura fuera de los límites del búfer. Por ahora, el PoC sólo demuestra un fallo y no un exploit completo, pero la distancia entre un primitivo de crash y una explotación funcional puede salvarse. La única medida fiable es instalar las actualizaciones de Apple publicadas el 28 de septiembre.
