La actualización aburrida de Apple es precisamente la que conviene instalar: iOS 26.6 arregla 78 agujeros de seguridad

No es lo mismo recibir una actualización con novedades que uno puede probar en el teléfono que otra donde los cambios van por dentro. Estas últimas son las aburridas, esas que dejas para al final y que solo instalas cuando te cansas de ver la notificación. Paradójicamente, las importantes suelen ser estas últimas, porque son las que arreglan los problemas del teléfono. Es el caso de la reciente actualización liberada por Apple.

Un parche para corregir serias amenazas. El reciente iOS 26.6 (y versiones de otros dispositivos) está ya en plena distribución para los iPhone compatibles. En el aviso de actualización, Apple subraya que el software prepara el sistema de cara a iOS 27, aunque lo importante son los problemas que corrige. Entre ellos, 14 entradas dirigidas a una de las áreas más críticas del sistema: el kernel.

Según consta en el listado de cambios liberado por Apple, la última actualización de seguridad corrige serias ventanas a la ejecución de código malicioso en los dispositivos. En total, son 78 entradas individuales de vulnerabilidad vinculadas a 87 registros CVE únicos. Hay más registros CVE que entradas porque algunas de ellas agrupan varias vulnerabilidades.

iPhone 17 pro Max

Una de las actualizaciones más importantes. Podría parecer que la 26.6, liberada para todas las familias de dispositivos de Apple, es una actualización menor, pero resulta todo lo contrario: no instalarla pone en riesgo el uso de nuestro dispositivo. Pese a que a Apple no le consta que ninguna de las vulnerabilidades se haya utilizado, de ser explotadas estas permitirían:

• Una imagen que ejecuta código sola. Los dispositivos permitían el procesado de imágenes manipuladas para ejecutar código arbitrario, sin que el usuario tocase nada. Algo similar a lo que NSO explotó en 2023 con BLASTPASS. CVE-2026-43818
• De aplicación corriente a control total. Un fallo daba privilegios de root a una app, otro, ejecución de código con privilegios de kernel. Una aplicación maliciosa podría hacerse con el control del dispositivo. CVE-2026-43723, CVE-2026-64747
• Saltarse el aislamiento entre apps. Game Center y libc permitían a una aplicación escapar de su entorno aislado de ejecución. Otro fallo burlaba la comprobación de firma de código, el mecanismo que impide ejecutar binarios no autorizados en iOS. CVE-2026-64740, CVE-2026-28973, CVE-2026-43813
• Contactos falsos para estafas telefónicas. Una app podía añadir contactos sin autorización. Por ejemplo, haría posible añadir el número falso de un banco a la agenda para que el usuario se confiase al recibir la llamada. CVE-2026-64746, CVE-2026-64734
• Burlar cortafuegos, VPN y control parental. Un atacante remoto podría saltarse los filtros de red del sistema. CVE-2026-64735
• Acceso a un iPhone bloqueado. Las vulnerabilidades permitirían acceder a información sensible del usuario, incluso cerca suyo: se podría corromper la memoria vía WiFi. CVE-2026-43753, CVE-2026-64726
• Rastreo publicitario sin conocimiento del usuario. Varios componentes permitían identificar de forma persistente al dueño del dispositivo para rastrearle sin que lo sepa. CVE-2026-64741, CVE-2026-64733, CVE-2026-64713
• Phishing con la interfaz del navegador falsificada. Los atacantes podrían aprovechar las vulnerabilidades descubiertas en WebKit para suplantar la interfaz de Safari. Esto permitiría imitar la web del banco para engañar al usuario y que deje sus claves en un formulario falso. CVE-2026-64730

En Xataka

iOS 27 tiene una función que no apareció en la WWDC y es el mayor indicio de que el iPhone plegable es real

Pese a los graves riesgos de todas las vulnerabilidades descubiertas, y parcheadas en la reciente actualización, hemos de subrayar que Apple no encontró pruebas de que se hayan aprovechado para acceder a los dispositivos. Pese a ello, el consejo está claro: actualizar no cuesta nada y puede evitar mucho.

Aburrida, pero imprescindible. Viene sin la nueva Siri, sin cambios en la interfaz y, como mejora más allá de las correcciones de seguridad, iOS 26.6 y compañía preparan el indexado de Spotlight de cara a iOS 27. Aun así, esta actualización “aburrida” es la única que asegura el buen funcionamiento de los dispositivos. Que es justo el principal valor a proteger.

Imagen de portada | Montaje con foto de Alejandro Alcolea y captura de Álvaro García

En Xataka | La nueva Siri AI ya está aquí: dos años después y con la ayuda de Google, esto es lo que hace el asistente con IA de Apple