Un archivo. Eso es todo lo que hace falta. Apple publicó el 28 de septiembre una tanda de actualizaciones para tapar una escritura fuera de límites en CoreGraphics que, según la propia compañía, ya fue usada "en un ataque extremadamente sofisticado contra individuos específicos". El detalle que vale la pena leer dos veces: el crédito del hallazgo no es de Citizen Lab ni de Amnesty, es de Meta Product Security.
Qué pasó
Apple liberó tres boletines simultáneos —iOS y iPadOS 26.7.1, macOS Tahoe 26.7.1 y macOS Sequoia 15.8.1— todos con un único CVE dentro: CVE-2026-86950. La descripción es de manual y por eso mismo es mala noticia: una escritura fuera de límites en CoreGraphics, el framework de renderizado 2D que toca absolutamente todo lo que pinta un pixel en el sistema. Se corrigió "con mejores comprobaciones de límites".
El vector es el clásico de la cadena de spyware moderna: procesar un archivo malformado. CoreGraphics es el motor que interpreta PDFs, imágenes y fuentes, y se invoca desde procesos que reciben contenido sin que el usuario haga nada explícito —previsualizaciones de mensajería, miniaturas, renderizado en el navegador—. Apple no dijo si el ataque era zero-click, pero el perfil encaja con lo que se ha documentado en campañas de vigilancia comercial de los últimos años.
Al día siguiente, el 29 de septiembre, CISA metió el CVE en el catálogo KEV con fecha límite del 2 de octubre —tres días— y con el requisito de triage forense activado. Ese último campo no es decorativo: significa que la agencia asume que hay dispositivos comprometidos y que parchear sin revisar el equipo no cierra el incidente.
Por qué importa
Hay tres cosas aquí que no son obvias en el titular.
Primera: Apple parcheó solo los trenes antiguos. La frase textual del boletín es que la explotación ocurrió "en versiones de iOS anteriores a iOS 27". No hay actualización de iOS 27 para esta falla. La lectura razonable es que las mitigaciones de memoria del sistema operativo actual ya neutralizan esta clase de bug —la línea de endurecimiento que Apple viene empujando en hardware y en el allocator—, y que quien se quedó en la rama 26.x es exactamente el universo expuesto. Traducido a inventario corporativo: los equipos rezagados en el ciclo de actualización no solo van tarde, están en una superficie de ataque distinta.
Segunda: el reportante es Meta. Que el equipo de seguridad de producto de Meta encuentre y reporte un zero-day de CoreGraphics explotado en el mundo real dice algo del mapa de detección actual. Meta opera WhatsApp, y WhatsApp es históricamente el punto de entrega favorito de este tipo de cadenas. Es plausible que la señal saliera de telemetría de mensajería más que de una auditoría de laboratorio: la industria que caza spyware ya no es solo el sector ONG.
Tercera: nadie dijo cuántos. Apple no reveló número de objetivos, ni si los intentos tuvieron éxito, ni desde cuándo. Es su política de siempre, pero conviene no confundir "ataque dirigido" con "no me toca". El patrón conocido es que la campaña dirigida va primero y el exploit se filtra o se reimplementa después, cuando el parche ya publicó el mapa del bug.
El detalle técnico
Un out-of-bounds write en un parser de gráficos es la primitiva más útil que existe para un atacante: corrompes memoria en un proceso que recibe datos no confiables y, si el proceso está bien elegido, ganas ejecución sin interacción. CoreGraphics corre en contextos privilegiados y en contextos sandboxeados según el consumidor, así que el valor real del bug depende de con qué se encadene después para escapar del sandbox y elevar.
Apple no publicó indicadores ni detalles de la cadena completa, y no hay PoC público conocido al momento de escribir esto. La corrección por "bounds checking" sugiere una validación faltante en el manejo de un campo de tamaño dentro del formato procesado —el tipo de fallo que un diff del binario deja ver rápido, que es precisamente por lo que la ventana entre parche y exploit público se ha ido acortando.
Qué hacer
- Parchea ya iOS/iPadOS a 26.7.1, macOS Tahoe a 26.7.1 y Sequoia a 15.8.1. Si tu flota puede saltar a iOS 27, ese es el movimiento correcto, no el parche puntual.
- Fuerza el despliegue vía MDM con ventana corta. El plazo de CISA es del 2 de octubre; si tu organización usa ese catálogo como referencia de SLA interno, ya vas contra reloj.
- No cierres el ticket con el parche. Para usuarios de alto riesgo —directivos, legal, comunicación, cualquiera con exposición pública— haz triage: revisa el historial de reinicios y crashes, exporta diagnósticos del dispositivo y consérvalos antes de actualizar, porque la actualización borra evidencia.
- Activa Lockdown Mode en el perfil de riesgo alto. Es la única mitigación genérica que reduce de verdad la superficie de estos parsers.
- Inventario primero. La pregunta útil de hoy no es "¿parchamos?", es "¿cuántos dispositivos siguen en ramas anteriores a iOS 27 y quién los usa?".