Apple corrige unas 329 fallas en iPhone, Mac y el resto de sus sistemas

Apple publicó el 26 de octubre actualizaciones para iPhone, iPad, Mac, Apple Watch, Apple TV y Apple Vision Pro que corrigen al menos 329 fallas de seguridad distintas, según el conteo de 9to5Mac sobre los avisos de seguridad de Apple. Ninguna de las fallas nuevas figura como explotada en ataques, pero entre ellas hay una que expone datos sensibles a un atacante remoto y otra que deja a una aplicación maliciosa encender la cámara sin permiso.

Cuántas son, según quién cuente

Los números cambian según el medio y lo que se cuente. 9to5Mac habla de al menos 329 fallas únicas, que suman 1.265 identificadores CVE (el código público de cada falla) porque una misma falla se repite en varios sistemas, y advierte que las cifras pueden subir si Apple corrige sus avisos. AppleInsider se limita a iOS 27.2 y dice que trae "más de 130" correcciones de seguridad, 25 de ellas para impedir el acceso a datos sensibles. Un conteo propio sobre el aviso de iOS 27.2 y iPadOS 27.2 da unos 160 identificadores, con un margen de error de uno o dos. No son cifras contradictorias: miden universos distintos.

Las que más pesan

La más delicada es CVE-2026-86987, en Apple Intelligence, las funciones de inteligencia artificial de Apple. Según el aviso, un atacante remoto podría acceder a datos sensibles del usuario por un problema de autorización, en iPhone 15 Pro y posteriores y en iPad compatibles con esas funciones. Apple la atribuye a un investigador de Route Zero Security.

CVE-2026-86990, en CoreMedia (la parte del sistema que maneja audio y video), permitía que una aplicación maliciosa accediera a la cámara sin el permiso del usuario. Afecta a iPhone, iPad, Mac y Vision Pro, según 9to5Mac.

WebKit, el motor del navegador Safari, concentra otra parte del paquete. Un conteo propio sobre el aviso de iOS 27.2 da unas 30 CVE en 20 entradas, ocho de ellas con ejecución de código arbitrario si el usuario abre una página manipulada, y una con salida del aislamiento de seguridad del navegador. 9to5Mac señala que Apple corrige WebKit con insistencia desde hace meses, en parte por el uso de herramientas de IA para hallar fallas.

Un caso aparte es CVE-2026-86950, en CoreGraphics. Apple la corrigió el mes pasado y advirtió que pudo usarse en un ataque "extremadamente sofisticado" contra personas específicas en versiones anteriores a iOS 27. Ahora el arreglo llega también a iOS 18.

Qué versión instalar

Cada equipo recibe la actualización de su rama. Los iPhone 11 y posteriores pueden pasar a iOS 27.2 o quedarse en la rama 26 con iOS 26.7.2. Los iPhone XS, XS Max y XR reciben iOS 18.7.11. En Mac salen macOS Golden Gate 27.2, Tahoe 26.7.2 y Sequoia 15.8.2, y Safari 27.2 para Sequoia y Tahoe. También hay actualizaciones de tvOS, watchOS 27.2 (desde el Apple Watch Series 9) y visionOS 27.2.

Estado de explotación

Sin explotación conocida para las fallas nuevas, según los avisos de Apple, que no indican ataques activos, y según 9to5Mac y AppleInsider. La excepción es el arreglo ya mencionado de CVE-2026-86950, que Apple corrigió antes y ahora extiende a iOS 18.

Qué hacer

• En iPhone o iPad: Configuración, General, Actualización de software, e instalar la versión que ofrezca.
• En Mac: Configuración del Sistema, General, Actualización de software.
• Activar las actualizaciones automáticas para no depender de recordarlo.
• Los equipos que ya no reciben iOS 27 deben instalar la versión de su rama (26.7.2 o 18.7.11), no quedarse sin parche.

Ficha técnica

• CVE destacadas: CVE-2026-86987 (Apple Intelligence), CVE-2026-86990 (CoreMedia), CVE-2026-86950 (CoreGraphics, corregida antes).
• Conteos: al menos 329 fallas únicas y 1.265 CVE (9to5Mac); más de 130 solo en iOS 27.2 (AppleInsider).
• Avisos del fabricante: lista de avisos de seguridad de Apple y iOS 27.2. Los avisos de Apple están en inglés.
• Alta en el catálogo KEVcatálogo de vulnerabilidades explotadas conocidas (KEV) Lista pública de la Agencia de Ciberseguridad y Seguridad de Infraestructura de Estados Unidos (CISA) que reúne vulnerabilidades con evidencia de explotación activa, para que se prioricen al corregir. de CISA de las fallas nuevas: no consta.