Apple corrige CVE-2026-86950, un zero-day de CoreGraphics posiblemente explotado

Apple corrigió CVE-2026-86950, una vulnerabilidad de escritura fuera de límites en CoreGraphics. El procesamiento de un archivo especialmente manipulado puede terminar en ejecución de código arbitrario, un impacto especialmente sensible porque el componente interviene en el tratamiento de gráficos dentro de iOS, iPadOS y macOS.

La empresa atribuyó el hallazgo a Meta Product Security y señaló que recibió un informe sobre posible explotación en un ataque extremadamente sofisticado contra personas específicas que utilizaban versiones de iOS anteriores a iOS 27. Apple no detalló el vector de entrega, las víctimas ni el alcance de la actividad.

La corrección está incluida en iOS 26.7.1 y iPadOS 26.7.1 para iPhone 11 y posteriores, iPad Pro de 12,9 pulgadas desde la tercera generación, iPad Pro de 11 pulgadas, iPad Air desde la tercera generación, iPad desde la octava generación y iPad mini desde la quinta generación.

Apple también publicó macOS Tahoe 26.7.1 y macOS Sequoia 15.8.1. Aunque el mismo defecto está presente en macOS, el aviso del fabricante solo vincula la posible explotación observada con versiones de iOS anteriores a iOS 27. No existe evidencia pública que permita afirmar que los ataques alcanzaron equipos Mac.

La combinación de procesamiento de archivos, ejecución de código y posible explotación dirigida eleva la urgencia aun sin una puntuación CVSS pública. El riesgo es mayor para personal con exposición elevada —dirección, administración pública, investigación, periodismo y respuesta a incidentes— porque Apple describe una operación selectiva y sofisticada, no una campaña masiva.

La información disponible no confirma un ataque sin interacción ni permite atribuirlo a un actor concreto. Por ello, los equipos defensivos deben separar el hecho confirmado —la vulnerabilidad y su corrección— de hipótesis sobre el canal utilizado para entregar el archivo malicioso.

Las organizaciones deben acelerar la actualización de dispositivos administrados y verificar que los equipos de usuarios de alto riesgo hayan recibido efectivamente la versión corregida. Los dispositivos que no puedan actualizarse deben quedar temporalmente fuera de flujos sensibles hasta completar una evaluación.