Día cero de Apple CVE-2026-86950: CoreGraphics ya explotado

Apple ha corregido CVE-2026-86950, una vulnerabilidad de CoreGraphics, el framework que gestiona los gráficos en sus sistemas operativos. Según el fabricante, el fallo podría haberse explotado ya en un ataque «extremadamente sofisticado» contra personas elegidas con cuidado. El 29 de septiembre la CISA la incluyó en el catálogo Known Exploited Vulnerabilities (KEV), con plazo hasta el 13 de octubre para las agencias federales estadounidenses.

Qué ha pasado

El boletín de seguridad de Apple, publicado el lunes 28 de septiembre, describe una escritura fuera de los límites de la memoria en CoreGraphics. Al procesar un archivo manipulado, un atacante puede llegar a la ejecución de código arbitrario en el dispositivo. Apple ha resuelto el problema mejorando la comprobación de límites.

El fabricante declara tener conocimiento de un informe según el cual el fallo podría haberse explotado contra personas concretas, en versiones de iOS anteriores a iOS 27. No dice qué versiones se vieron afectadas, quién estaba detrás, cuántas personas resultaron implicadas ni cómo se entregaba el archivo. La vulnerabilidad la notificó a Apple el equipo Meta Product Security. Ni Apple ni Meta han publicado más detalles técnicos.

Detalles técnicos

• CVE: CVE-2026-86950, escritura fuera de límites (out-of-bounds write, CWE-787) en CoreGraphics. La CISA la registra como vulnerabilidad de «Apple Multiple Products».
• Efecto: ejecución de código arbitrario al procesar un archivo malicioso.
• Versiones corregidas: iOS 26.7.1 e iPadOS 26.7.1. Según Infosecurity Magazine, la corrección llegó también con macOS Tahoe 26.7.1 y macOS Sequoia 15.8.1. The Register, en cambio, solo cita iOS e iPadOS.
• Dispositivos que reciben la actualización:
  • iPhone 11 y posteriores;
  • iPad Pro de 12,9 pulgadas de tercera generación y posteriores;
  • iPad Pro de 11 pulgadas de primera generación y posteriores;
  • iPad Air de tercera generación y posteriores;
  • iPad de octava generación y posteriores;
  • iPad mini de quinta generación y posteriores.
• Vector de ataque: un archivo manipulado. No se ha revelado el canal de entrega (mensajes, adjuntos, navegación).
• MITRE ATT&CK: T1203 (Exploitation for Client Execution) para macOS y la técnica equivalente de la matriz Mobile, T1658. Como no se conoce el vector de entrada, no se puede mapear la técnica de acceso inicial.
• Indicadores de compromiso: no se ha publicado ninguno.
• Uso en ransomware: desconocido, según la CISA.

El contexto

Según The Register, es el séptimo día cero que Apple corrige en 2026. El fabricante usa la misma fórmula, «ataque extremadamente sofisticado contra personas concretas», para los casos de explotación dirigida. En febrero de 2025, por ejemplo, la usó para CVE-2025-24200, descubierta por los investigadores del Citizen Lab. Los medios señalan que en el pasado vulnerabilidades de este tipo se han vinculado a proveedores de spyware comercial. Sin embargo, para CVE-2026-86950 ninguna fuente atribuye el ataque a un actor o a una herramienta concretos.

Infosecurity Magazine recuerda también que en septiembre Apple corrigió CVE-2026-86869, una vulnerabilidad zero-click que podía activarse con un iMessage manipulado. De ese fallo, en cambio, no consta que se haya explotado.

Impacto para las empresas europeas e italianas

El perfil de los ataques dirigidos afecta de lleno a las empresas: directivos, administradores de sistemas y quienes manejan información sensible son los objetivos típicos. Precisamente estas personas suelen obtener excepciones a las normas de actualización. Un smartphone comprometido da acceso al correo, los mensajes, la autenticación multifactor y las aplicaciones de la empresa.

Para las entidades sujetas a NIS2, los smartphones y tabletas de empresa son activos que hay que gestionar: el inventario, las actualizaciones y la gestión de vulnerabilidades deben cubrirlos también a ellos, no solo a ordenadores y servidores. En la sanidad, donde los iPad se usan a menudo en planta para consultar datos clínicos, un dispositivo sin actualizar es un riesgo directo para los datos de los pacientes.

Qué hacer ya

1. Haz inventario: desde la consola de gestión de dispositivos móviles (MDM), extrae los iPhone y iPad con versión inferior a 26.7.1 y los Mac con versiones de macOS anteriores a Tahoe 26.7.1 o Sequoia 15.8.1. Consulta en el boletín de Apple la lista completa de sistemas corregidos.
2. Impón la actualización: fija un plazo corto mediante MDM y reduce al mínimo los aplazamientos que se conceden a los usuarios, incluidas las excepciones para directivos.
3. Empieza por las personas en riesgo: define una lista de los usuarios más expuestos, actualiza primero sus dispositivos y valora para ellos el Modo de aislamiento (Lockdown Mode) de Apple.
4. Gestiona los dispositivos excluidos: los modelos que no reciben la actualización siguen siendo vulnerables. Quítales el acceso a los datos de la empresa o sustitúyelos.
5. Prepara la respuesta: no hay indicadores públicos. Si sospechas que el dispositivo de una persona en riesgo ha sido atacado, no lo restaures enseguida: aíslalo de las cuentas de la empresa, revoca sesiones y tokens y entrégalo para un análisis forense especializado. Comprueba que tu plan de respuesta a incidentes contemple también los smartphones, no solo los ordenadores.

Cómo ayuda ARXDOME

En los Mac, el agente de ARX Sentry recoge el inventario de sistema y software, así que muestra enseguida qué equipos siguen con una versión vulnerable de macOS. ARX Shield enumera las vulnerabilidades abiertas por equipo y destaca las que ya explotan los atacantes, como esta. ARX Horizon permite consultar desde el portal los detalles de las vulnerabilidades. Para iPhone e iPad, el punto de control sigue siendo la consola MDM.

Última actualización: 30 de septiembre de 2026