Apple publicó el 28 de septiembre de 2026 los parches de iOS 26.7.1, iPadOS 26.7.1, macOS Tahoe 26.7.1 y macOS Sequoia 15.8.1 para cerrar CVE-2026-86950, un fallo de escritura fuera de límites en CoreGraphics. Procesar un archivo manipulado puede llevar a ejecución de código. La compañía dice tener constancia de un informe de explotación en un ataque extremadamente sofisticado contra personas concretas, en versiones de iOS anteriores a iOS 27. CISA incorporó el aviso a su catálogo de vulnerabilidades explotadas el 29 de septiembre y fijó el 2 de octubre de 2026 como fecha límite para los sistemas federales de Estados Unidos a los que aplica esa obligación.
Qué ha confirmado Apple sobre CVE-2026-86950
El aviso de iOS 26.7.1 e iPadOS 26.7.1 describe el mismo problema que los de macOS Tahoe 26.7.1 y macOS Sequoia 15.8.1. El impacto, en palabras de Apple, es que procesar un archivo malicioso puede conducir a ejecución arbitraria de código. La corrección consiste en una comprobación de límites más estricta. El identificador es CVE-2026-86950 y el crédito del informe corresponde a Meta Product Security.
Apple no publica una puntuación CVSS en esas páginas. Tampoco identifica al atacante, el número de víctimas ni el archivo concreto que se usó. La fórmula «extremadamente sofisticado» y «personas concretas» es la que la compañía reserva para campañas dirigidas, no para un gusano masivo. No hay en el aviso una confirmación de ataque sin interacción: el texto habla de procesar un archivo. Tratar un documento no solicitado como riesgo alto en un equipo sin parche es una precaución razonable; convertirlo en un fallo de pulsación cero sería ir más allá de lo publicado.
La base de datos nacional de vulnerabilidades de Estados Unidos recoge la descripción de Apple y clasifica la debilidad como CWE-787, escritura fuera de límites. El registro CVE, con Apple como autoridad de numeración, repite que el problema está corregido en esas versiones y que la explotación conocida se refiere a iOS anterior a iOS 27.
Qué versiones hay que instalar
En el iPhone y el iPad que sigan en la rama 26, la versión corregida es la 26.7.1. Apple la ofrece para el iPhone 11 y posteriores, el iPad Pro de 12,9 pulgadas de tercera generación y posteriores, el iPad Pro de 11 pulgadas de primera generación y posteriores, el iPad Air de tercera generación y posteriores, el iPad de octava generación y posteriores, y el iPad mini de quinta generación y posteriores. El listado completo está en la página de actualizaciones de seguridad de Apple.
En el Mac, el parche de esta vulnerabilidad está en macOS Tahoe 26.7.1 y en macOS Sequoia 15.8.1. El mismo 28 de septiembre Apple publicó iOS 27.0.1, iPadOS 27.0.1 y macOS Golden Gate 27.0.1, pero el listado oficial indica que esas versiones no tienen entradas CVE publicadas. No se puede afirmar, con el aviso en la mano, que iOS 27.0.1 cierre CVE-2026-86950: simplemente no aparece ahí. Quien ya esté en iOS 27 debe comprobar que tiene la última compilación de esa rama; quien siga en iOS 26 debe instalar 26.7.1.
El catálogo KEV de CISA añadió el fallo el 29 de septiembre de 2026 con fecha de remediación del 2 de octubre de 2026, según la ficha que enlaza la NVD. Esa fecha obliga a las agencias federales estadounidenses que cubre la directiva correspondiente. No es un plazo legal en España ni en la Unión Europea. Sirve, eso sí, como señal de que el fallo ya no es solo teórico: CISA solo mete en ese catálogo vulnerabilidades con evidencia de explotación.
Cómo comprobarlo en el teléfono y en el Mac
En el iPhone o el iPad, la ruta es Ajustes, General, Actualización de software. El equipo tiene que estar enchufado o con batería suficiente y conectado a una red. Si aparece iOS 26.7.1 o iPadOS 26.7.1, esa es la compilación que Apple asocia a este parche en la rama 26. Si el teléfono ya muestra iOS 27 o iOS 27.0.1, el aviso de la rama 26 no sustituye a la comprobación de que el sistema está al día en la suya.
En el Mac, la comprobación está en Ajustes del Sistema, General, Actualización de software. Tahoe debe quedar en 26.7.1 y Sequoia en 15.8.1 si el equipo sigue en esas ramas. Apple recuerda en su página de lanzamientos que, una vez instalada una actualización de iOS, iPadOS, tvOS, watchOS o visionOS, no se puede volver a la versión anterior. Conviene hacer la copia de seguridad antes, no después.
En una empresa, el inventario debe mirar la versión de producto, no solo si hay una actualización pendiente. Un iPhone 11 en iOS 26.7 sigue expuesto según el aviso; un iPhone 11 en 26.7.1 entra en la versión corregida de esa rama. El MDM que solo marque «actualizado» sin leer el número de compilación puede dejar equipos fuera.
Qué cambia para quien usa el iPhone en España
El parche no distingue país. Llega por la misma actualización de software en España que en el resto de mercados donde Apple distribuye esas ramas. No hay precio, ni tienda, ni operador de por medio: es una actualización del sistema. En la revisión de esta pieza no consta un aviso propio de INCIBE sobre CVE-2026-86950; la fuente operable sigue siendo el aviso de Apple.
El efecto práctico es acotar el tratamiento de archivos. CoreGraphics es el marco con el que el sistema dibuja y procesa gráficos. Un archivo que el teléfono abre para mostrar una miniatura, una previsualización o un documento puede pasar por ese código. Mientras el equipo no esté en la versión corregida de su rama, abrir un adjunto no solicitado es el escenario que describe el aviso. No hace falta dramatizar el correo de un contacto conocido; sí conviene no abrir documentos que lleguen de cuentas desconocidas hasta tener el parche.
Quien comparta el iPhone o el iPad con menores puede cruzar esta actualización con los controles de privacidad de otras apps. No es el mismo problema: los controles parentales de WhatsApp no parchean CoreGraphics. El sistema operativo sigue siendo la capa que hay que actualizar primero.
Qué no está confirmado
Hay análisis públicos posteriores al parche. Resúmenes técnicos del 1 de octubre de 2026 atribuyen a investigadores un diff del parche y una muestra que provoca un fallo al procesar cierto archivo gráfico, y señalan que convertir eso en ejecución de código fiable es un trabajo distinto, y que no disponían de la muestra usada en los ataques. Eso no es una confirmación de Apple. Bitzeta no reproduce muestras ni pasos de explotación.
Tampoco está confirmado que iOS 27 fuera vulnerable antes de 27.0.1. El texto de Apple sitúa la explotación conocida en versiones anteriores a iOS 27 y publica el arreglo en la rama 26 y en Sequoia y Tahoe. La ficha de producto del CVE marca iOS e iPadOS afectados por debajo de 26.7.1, y macOS por debajo de 15.8.1 y de 26.7.1. Mezclar esa numeración con iOS 27 sin el aviso correspondiente sería inventar alcance.
watchOS 27.0.1 y visionOS 27.0.1 salieron el mismo día sin CVE publicados en el listado de Apple. No hay base, hoy, para decir que el Apple Watch o el Vision Pro estén afectados por CVE-2026-86950.
Qué puede pasar a partir del 2 de octubre
El plazo de CISA vence el 2 de octubre de 2026 para los sistemas federales de Estados Unidos que deben aplicar el parche del fabricante. En el resto de usuarios, la fecha no cambia la técnica: o el equipo está en la versión corregida de su rama, o no lo está. Si aparecen más informes de explotación, lo esperable es que citen el mismo CVE y las mismas compilaciones, no un parche distinto.
La semana también deja otras actualizaciones de sistema. Microsoft publicó Windows 11 26H2 como paquete de habilitación, un caso distinto: no es este fallo ni este fabricante. Sirve solo como recordatorio de que octubre acumula parches y no todos cierran lo mismo.
Para este aviso, el cierre es concreto. iOS 26.7.1, iPadOS 26.7.1, macOS Tahoe 26.7.1 y macOS Sequoia 15.8.1 son las versiones en las que Apple dice haber corregido CVE-2026-86950. El informe de explotación que admite la compañía se limita a un ataque sofisticado contra personas concretas en iOS anterior a iOS 27. El resto —alcance masivo, interacción cero, efecto en iOS 27— no está en el aviso.
Deja una respuesta