Toca actualizar el iPhone, el iPad y el Mac

Apple publicó el lunes actualizaciones de seguridad para iOS, iPadOS, macOS, watchOS y visionOS que corrigen 10 vulnerabilidades. Según SecurityWeek, la mitad tiene que ver con el emparejamiento por Bluetooth y AirPlay, y algunas permiten conectarse a un dispositivo sin intervención del usuario.

Qué hay que instalar

Las versiones corregidas son:

• iOS y iPadOS 27.2.1, 26.7.3 y 18.7.12
• macOS Golden Gate 27.2.1, Tahoe 26.7.3 y Sequoia 15.8.3
• watchOS 27.2.1 y 26.6.1
• visionOS 27.2.1

La rama 18.7.12 cubre equipos antiguos como el iPhone XS, XS Max, XR y el iPad de séptima generación.

Emparejar sin pedir permiso

Cinco fallos se corrigen en todas las versiones. Tres permiten saltarse el límite de intentos al adivinar códigos de emparejamiento: CVE-2026-113968, en AirPlay, explotable desde el alcance del Bluetooth; CVE-2026-113969, en el componente rapportd, que exige estar en la misma red; y CVE-2026-113964, en CoreUtils. De este último, Apple explica que un atacante en alcance Bluetooth «podría saltarse el límite de intentos del código de emparejamiento y emparejarse con un dispositivo sin interacción del usuario». CVE-2026-113965 permite algo parecido a un dispositivo Bluetooth malicioso, y CVE-2026-113970 es un fallo de memoria en Bluetooth que podría corromper la memoria de procesos.

También se corrigen dos errores de Mensajes: uno, CVE-2026-113961, permitiría a un atacante remoto unirse a un chat de grupo de iMessage y recibir sus mensajes; el otro, CVE-2026-113960, podría mostrar la conversación anterior del grupo a quien se añade después.

El fallo de Brotli

Las actualizaciones incluyen además el parche para CVE-2026-111497, la vulnerabilidad de la biblioteca de compresión Brotli bautizada como Node2Shell. Según SecurityWeek, se está explotando en ataques reales, aunque no hay indicios de que se haya usado contra productos de Apple, y ninguno de los avisos de la compañía menciona explotación activa.

Completan la lista CVE-2026-113963, en App Intents, que podría dar a una app acceso a información sensible, y CVE-2026-113971, exclusivo de iOS 18.7.12, que permitiría emparejar un dispositivo con un receptor AirPlay desde la pantalla de bloqueo teniendo acceso físico.

Apple no ha detallado más sobre cómo podrían explotarse estos fallos. Mientras tanto, lo sensato es actualizar cuanto antes y, si no se usan, desactivar Bluetooth y AirPlay en lugares concurridos.

Fuente: SecurityWeek