Apple corrige dos vulnerabilidades graves que permiten ejecutar código mediante webs maliciosas o Bluetooth

Qué ha pasado

Apple ha publicado actualizaciones que corrigen dos vulnerabilidades de gravedad alta, ambas con una puntuación CVSS 8.8. Las dos permiten ejecutar código arbitrario en el dispositivo, aunque por vías distintas. Los detalles proceden de NVD, que remite a los avisos de seguridad de Apple, entre ellos el de iOS 27 y iPadOS 27, publicado el 14 de septiembre de 2026.

CVE-2026-86922 es un fallo de confusión de tipos (type confusion) en el procesamiento de contenido web. Basta con que la víctima abra una página manipulada para que los atacantes ejecuten código en su equipo. Se puede atacar a distancia y sin credenciales, pero exige que el usuario visite la web maliciosa.

CVE-2026-86919 es un desbordamiento de stack (pila) causado por una validación insuficiente de la entrada. Según la descripción, un atacante que disponga de un dispositivo Bluetooth emparejado con el equipo podría ejecutar código arbitrario. No requiere interacción del usuario, pero sí proximidad física y un emparejamiento previo.

A quién afecta

Según NVD, las correcciones se incluyen en las versiones que se indican a continuación, de modo que los equipos que aún no las tengan instaladas siguen expuestos. El aviso de Apple sobre iOS 27 y iPadOS 27 indica que esta versión está disponible para el iPhone 11 y posteriores, el iPad Pro de 12.9 pulgadas de 4.ª generación y posteriores, el iPad Pro de 11 pulgadas de 2.ª generación y posteriores, el iPad Air de 4.ª generación y posteriores, el iPad de 9.ª generación y posteriores y el iPad mini de 6.ª generación y posteriores.

• CVE-2026-86922 (contenido web): corregida en Safari 27, iOS 27 y iPadOS 27, macOS Golden Gate 27 y visionOS 27.
• CVE-2026-86919 (Bluetooth): corregida en iOS 26.7 y iPadOS 26.7, iOS 27 y iPadOS 27, macOS Golden Gate 27, macOS Sequoia 15.8, macOS Tahoe 26.7 y visionOS 27.

Estado de la explotación

Ninguna de las dos vulnerabilidades figura en el catálogo KEV de CISA, que recoge los fallos con explotación activa confirmada, y no se conoce ningún exploit público. FIRST estima una probabilidad de explotación en el próximo mes del 0.1 % para CVE-2026-86922 y del 0.2 % para CVE-2026-86919, por lo que por ahora se considera poco probable. Aun así, su gravedad aconseja no aplazar la actualización.

Qué hacer

Lo recomendable es actualizar todos los dispositivos Apple a las versiones corregidas y comprobar el cumplimiento desde la herramienta de gestión de dispositivos (MDM).

• iPhone y iPad: instalar iOS 27 o iPadOS 27, que corrigen ambos fallos. iOS 26.7 y iPadOS 26.7 corrigen CVE-2026-86919, pero los datos disponibles no las citan como corrección de CVE-2026-86922.
• Mac: macOS Golden Gate 27 corrige ambos fallos. En macOS Sequoia 15.8 y macOS Tahoe 26.7 consta la corrección de CVE-2026-86919, y para el fallo web hay que instalar también Safari 27.
• Apple Vision Pro: actualizar a visionOS 27.
• Revisar el inventario para localizar equipos que no admitan estas versiones y planificar su sustitución o aislamiento.
• Mientras se despliegan las actualizaciones, revisar y eliminar los emparejamientos Bluetooth que no se reconozcan y evitar emparejar dispositivos desconocidos.

Fuentes

• Apple: About the security content of iOS 27 and iPadOS 27

Tecnologías afectadas

Vulnerabilidades (2)