Apple lanzó iOS 26.4.2 y iPadOS 26.4.2 el 22 de abril de 2026 para corregir una vulnerabilidad crítica de privacidad en notificaciones que permitía a las fuerzas del orden extraer el contenido de mensajes de Signal desde iPhones, incluso después de que la aplicación hubiera sido eliminada. La falla, identificada como CVE-2026-28950, se origina en un problema de registro en los servicios de notificaciones de Apple. 

Apple lanzó iOS 26.4.2 y iPadOS 26.4.2 el 22 de abril de 2026 para corregir una vulnerabilidad crítica de privacidad en notificaciones que permitía a las fuerzas del orden extraer contenido de mensajes de Signal desde iPhones, incluso después de que la app hubiera sido eliminada.

La falla, registrada como CVE-2026-28950, se originaba en un problema de registro en los servicios de notificaciones de Apple. Las notificaciones marcadas para su eliminación se retenían inesperadamente en el dispositivo, lo que podía hacer que vistas previas de mensajes sensibles persistieran mucho después de que los usuarios creyeran haberlas borrado. Apple solucionó la causa raíz mediante una mejora en la redacción de datos en su marco de registro.

La vulnerabilidad saltó a la luz pública después de que el medio de investigación 404 Media informara que el FBI había logrado extraer contenido de notificaciones de mensajes de Signal desde el iPhone de un sospechoso durante una investigación criminal, a pesar de que Signal había sido desinstalado del dispositivo. Las vistas previas de notificaciones retenidas proporcionaron suficiente contenido legible como para ser valiosas forensemente para los investigadores.

Signal elogia la rápida respuesta de Apple

Signal reconoció públicamente el parche, elogiando a Apple por actuar con rapidez tras la divulgación. En una publicación en X, la plataforma de mensajería cifrada confirmó que la actualización no solo evita que las notificaciones futuras persistan para apps eliminadas, sino que también borra automáticamente los datos de notificaciones retenidos previamente en los dispositivos afectados.

Esto es especialmente significativo dado que Signal tiene la reputación de ser una herramienta de privacidad de referencia. El hecho de que la propia infraestructura de notificaciones de iOS pudiera socavar inadvertidamente el cifrado de extremo a extremo de Signal a nivel del sistema operativo subraya la complejidad de proteger toda la pila de privacidad de un dispositivo.

La actualización se aplica a una amplia gama de hardware de Apple:

• iPhone 11 y posteriores
• iPad Pro de 12,9 pulgadas (3ª generación y posteriores), 11 pulgadas (1ª generación y posteriores)
• iPad Air 3ª generación y posteriores
• iPad 8ª generación y posteriores
• iPad mini 5ª generación y posteriores

Los usuarios con dispositivos más antiguos pueden aplicar la misma solución a través de iOS 18.7.8 y iPadOS 26.4.2.

La compilación 23E261, de aproximadamente 670–770 MB, ya está disponible. Ve a Ajustes > General > Actualización de software para instalar el parche de inmediato.