El 26 de octubre de 2026 Apple lanzó iOS 18.7.11 y iPadOS 18.7.11, una actualización de seguridad para modelos antiguos de iPhone y iPad que porta la corrección de la vulnerabilidad CVE-2026-86950 en el componente CoreGraphics. Esta vulnerabilidad, según Apple, podría haberse utilizado en «ataques extremadamente sofisticados» contra personas concretas. Los propietarios de iPhone XS, XS Max, XR y varios modelos de iPad deberían instalar la actualización de inmediato: el parche cierra una brecha por la que el procesamiento de un archivo especialmente diseñado conduce a la ejecución de código arbitrario.
Esencia técnica de la vulnerabilidad
CVE-2026-86950 se clasifica como out-of-bounds write (escritura fuera de los límites del búfer, CWE-787 según NVD). La vulnerabilidad afecta al subsistema CoreGraphics, el framework responsable del procesamiento de datos gráficos en todos los sistemas operativos de Apple. Al abrir un archivo especialmente preparado, el atacante obtiene la posibilidad de ejecutar código arbitrario en el dispositivo de la víctima.
La valoración de gravedad según CVSS 3.1 es de 8.8 (High). Matiz importante: esta puntuación la ha asignado CISA-ADP, no NVD; la valoración propia de NVD no se había proporcionado en el momento de la publicación. El vector de ataque es de red, con baja complejidad de explotación y sin necesidad de privilegios, pero que requiere la interacción del usuario (abrir el archivo).
Apple solucionó inicialmente esta vulnerabilidad el 28 de septiembre de 2026 en iOS 26.7.1 e iPadOS 26.7.1, macOS Tahoe 26.7.1 y macOS Sequoia 15.8.1. Sin embargo, estas actualizaciones solo cubrían los dispositivos que admiten las ramas actuales del sistema operativo. Ahora la corrección se ha extendido a la rama 18.x, ya obsoleta, lo que cierra la brecha para los propietarios de modelos más antiguos.
Qué dispositivos están afectados
La actualización iOS 18.7.11 e iPadOS 18.7.11 está destinada a:
- iPhone XS, iPhone XS Max, iPhone XR
- iPad de 7.ª generación
- iPad Air de 4.ª generación y posteriores
- iPad de 9.ª generación y posteriores
- iPad mini de 6.ª generación y posteriores
Los propietarios de dispositivos más recientes que admiten iOS 27 deben usar la rama 27.2, que se publicó al mismo tiempo y contiene correcciones para cientos de vulnerabilidades.
Explotación y contexto de la amenaza
Apple indica que CVE-2026-86950 «podría haberse utilizado en un ataque extremadamente sofisticado contra personas concretas en versiones de iOS anteriores a iOS 27». La formulación es prudente: la compañía habla de una posible explotación, no de una explotación confirmada. No se ha encontrado confirmación independiente de estos ataques por parte de investigadores externos ni organismos gubernamentales. No se revela la atribución —quién está detrás de los ataques ni quiénes fueron las víctimas—.
Ya escribimos sobre esta vulnerabilidad cuando se publicó el parche inicial en septiembre, y también analizamos el exploit PoC público y la cuestión de los posibles vectores de entrega. El backport actual es la continuación lógica de esta historia: Apple cierra la ventana de vulnerabilidad para los dispositivos que quedaron sin protección tras la actualización de septiembre.
Correcciones adicionales en iOS 18.7.11
Además de CVE-2026-86950, la actualización corrige otras dos vulnerabilidades:
- CVE-2026-65339 (Audio): un error lógico que permite a una aplicación acceder a información confidencial del usuario.
- CVE-2026-86990 (CoreMedia): una vulnerabilidad de acceso mediante la cual una aplicación maliciosa puede activar la cámara sin el permiso del usuario.
Merece una atención especial CVE-2026-86987 en el componente Apple Intelligence, corregida en iOS 27.2 e iPadOS 27.2. Se trata de un error de autorización que permite a un atacante remoto obtener acceso a datos confidenciales. La vulnerabilidad solo afecta a dispositivos con compatibilidad con Apple Intelligence (iPhone 15 Pro y posteriores), por lo que no se incluye en la rama 18.x.
Recomendaciones
La prioridad de la actualización es alta. Las acciones concretas dependen del modelo de dispositivo:
- iPhone XS/XR, iPad de 7.ª generación y otros dispositivos de la lista anterior: instale iOS/iPadOS 18.7.11 a través de «Ajustes → General → Actualización de software».
- Dispositivos con compatibilidad con iOS 27: actualice a iOS/iPadOS 27.2.
- Mac: asegúrese de tener instaladas macOS Tahoe 26.7.1 o macOS Sequoia 15.8.1 (o versiones posteriores).
Dado que la vulnerabilidad CVE-2026-86950 se explota a través del procesamiento de archivos, hasta instalar la actualización evite abrir adjuntos y documentos de fuentes no verificadas, especialmente archivos gráficos recibidos a través de mensajería o correo electrónico.
El backport del parche a la rama obsoleta iOS 18.x es un paso poco habitual para Apple, que resalta la gravedad de la amenaza. Los propietarios de los dispositivos afectados no deberían posponer la instalación: la vulnerabilidad ya se ha utilizado en ataques reales, existe un PoC público y la actualización está disponible ahora mismo.
