El 9 de noviembre de 2026, Apple publicó una serie de actualizaciones de seguridad que corrigen ocho vulnerabilidades en iMessage, Bluetooth, AirPlay y la biblioteca de compresión Brotli de Google. El problema más destacado — CVE-2026-113961 — permitía a un atacante remoto unirse a un chat grupal de iMessage y recibir sus mensajes. Las actualizaciones están disponibles para iOS/iPadOS 27.2.1, macOS Golden Gate 27.2.1 y watchOS 26.6.1, aunque la cobertura de los parches varía entre plataformas: los dispositivos con iOS 18.7.12 y algunos modelos de Apple Watch no recibieron correcciones para iMessage y Brotli.
Vulnerabilidades de iMessage: acceso no autorizado a chats grupales
Según el aviso de seguridad de Apple para iOS/iPadOS 27.2.1, se han corregido dos vulnerabilidades en el componente Messages:
- CVE-2026-113961: error de autorización que permitía a un atacante remoto unirse a un chat grupal de iMessage y recibir sus mensajes. Apple solucionó el problema mediante una validación mejorada.
- CVE-2026-113960: vulnerabilidad que permitía a un usuario añadido a un grupo acceder a los mensajes enviados antes de su incorporación. Se corrigió eliminando el código vulnerable.
Apple no revela si estas vulnerabilidades se explotaron, qué condiciones previas necesita el atacante, si los participantes del grupo ven al usuario que se une de forma no autorizada ni si es necesario que todos los participantes del chat actualicen sus dispositivos para estar protegidos. Estas lagunas de información dificultan considerablemente la evaluación del riesgo real.
CVE-2026-111497: vulnerabilidad crítica de Brotli del catálogo CISA KEV
Entre las vulnerabilidades corregidas, CVE-2026-111497 merece especial prioridad. Se trata de un error de escritura fuera de los límites del búfer (out-of-bounds write) en el decodificador de la biblioteca de compresión Brotli de Google, capaz de provocar corrupción de memoria al procesar datos especialmente manipulados. La CNA (Google Inc.) puntúa la vulnerabilidad en CVSS 4.0 con un valor de 9.2 — Critical.
Según los datos de NVD, la vulnerabilidad afecta a Google Brotli desde la versión 1.0.3 hasta la 1.0.10, de la 1.1.0 a la 1.1.1 y de la 1.2.0 a la 1.2.1. CISA incluyó CVE-2026-111497 en el catálogo Known Exploited Vulnerabilities el 27 de octubre de 2026, con fecha límite de mitigación el 10 de noviembre de 2026, es decir, el deadline prácticamente coincidió con la publicación de las actualizaciones de Apple.
Es precisamente CVE-2026-111497 la que debe recibir la máxima prioridad de parcheo en este paquete de actualizaciones: es la única de las ocho vulnerabilidades que tiene estado confirmado en CISA KEV y una puntuación CVSS crítica. Para las vulnerabilidades de iMessage y Bluetooth no existe tal confirmación de explotación. Ya hemos escrito sobre esta vulnerabilidad en el contexto de su impacto en el ecosistema: Brotli se utiliza en multitud de productos, desde Node.js hasta proxies de servidor.
Vulnerabilidades de Bluetooth y AirPlay
Todas las nueve actualizaciones publicadas, incluida watchOS 26.6.1, contienen correcciones para cinco vulnerabilidades en las subsistemas Bluetooth y AirPlay:
- CVE-2026-113965: un dispositivo Bluetooth malicioso podía establecer emparejamiento sin interacción del usuario.
- CVE-2026-113964: un atacante dentro del alcance de Bluetooth podía eludir el límite del número de intentos de introducción del código de emparejamiento y conectarse sin participación del usuario.
- CVE-2026-113968: evasión de la limitación de frecuencia de intentos de introducción del código de emparejamiento dentro del alcance de Bluetooth.
- CVE-2026-113969: evasión de la limitación de frecuencia de intentos de introducción del código de emparejamiento de AirPlay desde la misma red.
- CVE-2026-113970: error de uso de memoria tras su liberación (use-after-free) que permitía a un atacante dentro del alcance de Bluetooth corromper la memoria del proceso.
Apple no especifica qué acciones pasan a estar disponibles para el atacante tras un emparejamiento no autorizado.
Matriz de cobertura: no todas las plataformas están protegidas por igual
Un detalle importante de esta actualización es la distribución desigual de las correcciones entre plataformas. iOS/iPadOS 27.2.1 (para iPhone 11 y modelos posteriores, así como los modelos de iPad indicados) y macOS Golden Gate 27.2.1 incluyen los tres grupos de correcciones: iMessage, Brotli y Bluetooth/AirPlay. Sin embargo, watchOS 26.6.1 solo contiene correcciones para Bluetooth y AirPlay, sin parches para iMessage y Brotli. Las actualizaciones de iOS 18.7.12 para iPhone XS, XS Max, XR y iPad de 7.ª generación tampoco incluyen correcciones para iMessage y Brotli.
Apple no aclara si los dispositivos en estas ramas del sistema operativo son vulnerables a los fallos indicados o si, desde un principio, no se ven afectados. La ausencia de una corrección en el aviso no equivale a la ausencia de la vulnerabilidad.
Recomendaciones
- Actualice de inmediato los dispositivos a iOS/iPadOS 27.2.1 y macOS Golden Gate 27.2.1: estas versiones cierran las ocho vulnerabilidades, incluida la crítica CVE-2026-111497 con deadline CISA KEV del 10 de noviembre.
- Actualice Apple Watch a watchOS 26.6.1 para eliminar las vulnerabilidades de Bluetooth y AirPlay.
- Para dispositivos con iOS 18.7.12 que no han recibido correcciones para iMessage y Brotli, Apple no ofrece soluciones temporales. La lista completa de actualizaciones está disponible en la página de publicaciones de seguridad de Apple.
- Las organizaciones que utilicen Brotli en su infraestructura de servidor deben comprobar las versiones de la biblioteca en todos los productos: la vulnerabilidad afecta no solo a Apple, sino a cualquier software que incluya Brotli en versiones vulnerables.
La prioridad de actualización se determina de forma sencilla: CVE-2026-111497 en Brotli es la única vulnerabilidad de este paquete con explotación confirmada y una puntuación crítica CVSS-B 9.2, y su deadline según CISA KEV ya ha vencido. Los dispositivos con iOS/iPadOS 27.2.1 y macOS Golden Gate 27.2.1 deben actualizarse en primer lugar, y para los dispositivos en ramas más antiguas del sistema operativo se debe seguir de cerca la aparición de avisos adicionales de Apple.
