Apple ha tenido que reaccionar con urgencia a un problema de seguridad que afecta a su sistema operativo móvil. La compañÃa ha distribuido una actualización de emergencia destinada a tapar una vulnerabilidad en el motor gráfico que ya estaba siendo aprovechada por atacantes. El fallo, identificado como CVE-2026-86950, se localiza en CoreGraphics, el componente encargado de dibujar la interfaz y los elementos visuales en iPhone, iPad y Mac. Según la propia Apple, el ataque se ha dirigido contra individuos concretos mediante un método muy sofisticado, no contra el gran público.
La noticia llega en un momento delicado, porque la gran mayorÃa de usuarios todavÃa no ha dado el salto a la versión más reciente del sistema. De hecho, cerca de cuatro de cada cinco iPhones en activo siguen funcionando con iOS 26, según los datos que la propia empresa maneja para desarrolladores. Eso significa que una porción enorme del parque de dispositivos Apple queda expuesta si no se aplica el parche cuanto antes. La actualización corrige el fallo en iOS, iPadOS y macOS, aunque las fuentes consultadas no coinciden en el número exacto de versión, por lo que conviene comprobar manualmente en los ajustes del dispositivo.
Qué hace exactamente el fallo y por qué es peligroso
CoreGraphics no es un elemento menor dentro del sistema. Se trata de la capa que gestiona prácticamente todo lo que aparece en pantalla, incluidos los contenidos de aplicaciones con cifrado de extremo a extremo como WhatsApp, Signal o iMessage. Un exploit que consiga colarse en ese nivel puede capturar datos antes de que lleguen al canal cifrado, lo que dejarÃa sin efecto la protección de las comunicaciones. Por eso los fabricantes de spyware están dispuestos a pagar cifras millonarias por vulnerabilidades de este tipo.
El aviso de Apple describe el ataque como extremadamente sofisticado y dirigido a objetivos especÃficos. Ese lenguaje es el que la compañÃa suele emplear cuando el fallo ha sido utilizado por grupos de mercenarios digitales o actores estatales contra periodistas, activistas, ejecutivos o cargos públicos. No se trata, por tanto, de una campaña masiva contra usuarios corrientes, pero la exposición potencial sigue siendo muy alta debido al elevado número de dispositivos que aún no han actualizado.
El segundo bug zero-click que también ha sido corregido
Además de CVE-2026-86950, Apple ha tenido que hacer frente a otro agujero de seguridad igualmente grave. Se trata de CVE-2026-86869, una vulnerabilidad del tipo zero-click que se activa sin que el usuario haga nada, simplemente recibiendo un iMessage manipulado. La firma belga de ciberseguridad ironPeak publicó un análisis técnico en el que detallaba que este fallo era capaz de saltarse BlastDoor, la protección que Apple diseñó para aislar el código malicioso dentro del entorno de iMessage.
Este segundo bug ya fue parcheado por Apple con el lanzamiento de iOS 27, y la compañÃa acreditó su descubrimiento a Niels Hofmans, de ironPeak, asà como a investigadores de seguridad de Meta que confirmaron los hallazgos. No hay confirmación pública de que este fallo concreto se utilizara en ataques reales antes de ser corregido, aunque su naturaleza zero-click lo convierte en una herramienta muy codiciada en el mercado de spyware.
El papel de Meta y el contexto del mercado de zero-days
Llama la atención que el equipo de seguridad de producto de Meta haya sido el encargado de descubrir la vulnerabilidad principal, CVE-2026-86950. La compañÃa dirigida por Mark Zuckerberg ha estado en el punto de mira por otras cuestiones relacionadas con la privacidad, pero sus investigadores de seguridad han demostrado en varias ocasiones que son capaces de encontrar fallos crÃticos en sistemas ajenos. Encontrar bugs y proteger datos son dos actividades distintas, y conviene no mezclarlas a la hora de valorar la seriedad de un equipo técnico.
El mercado de los zero-days mueve varios miles de millones de dólares al año y opera en un vacÃo regulatorio casi total. Gobiernos, empresas de spyware y grupos criminales pagan a investigadores cantidades muy superiores a las que ofrece el programa de recompensas de Apple. El ciclo se repite una y otra vez: se descubre el fallo, se publica el parche y los fabricantes de spyware buscan el siguiente. Mientras ese ecosistema siga funcionando con los incentivos actuales, mantener el sistema operativo sin actualizar será una mala idea.
La recomendación para los usuarios es clara: revisar la versión de iOS o iPadOS en los ajustes del dispositivo y aplicar cuanto antes la actualización de emergencia que Apple ha publicado. Si el terminal ya corre iOS 27, el riesgo desaparece, pero conviene asegurarse de tener la última revisión disponible. Para quienes todavÃa estén en iOS 26, el parche es la única defensa práctica contra un fallo que ya se ha visto explotado en la vida real. No se trata de alarmar, pero sà de tomarse en serio una amenaza que, aunque dirigida a perfiles concretos, deja una puerta abierta en millones de dispositivos.
