Apple ha lanzado iOS 26.6 e iPadOS 26.6 para solucionar un número significativo de vulnerabilidades de seguridad, incluyendo fallos que podrían permitir que aplicaciones maliciosas ejecuten código con privilegios de kernel, obtengan acceso root o escapen del sandbox de aplicaciones de Apple.

Estas actualizaciones se publicaron el 27 de julio de 2026 y están disponibles para el iPhone 11 y modelos posteriores, junto con los modelos de iPad compatibles.

El problema más crítico afecta al componente AVEVideoEncoder. Identificada como CVE-2026-64747, esta vulnerabilidad de desbordamiento de búfer podría permitir que una aplicación maliciosa ejecute código arbitrario con privilegios de kernel.

La ejecución a nivel de kernel es particularmente peligrosa porque el kernel gestiona funciones esenciales del dispositivo, la memoria, el acceso al hardware y la aplicación de la seguridad. Apple ha resuelto este problema mejorando la validación del tamaño.

Además, Apple parcheó numerosas vulnerabilidades en el propio kernel de iOS. Varios fallos podrían permitir que una aplicación local provoque bloqueos del sistema, corrompa la memoria del kernel, escriba en la memoria del kernel o revele información sensible del mismo.

Correcciones de Vulnerabilidades de Apple iOS 26.6

Estas vulnerabilidades incluyen errores de uso después de liberación (use-after-free), lecturas y escrituras fuera de límites, condiciones de carrera, desbordamientos de enteros y problemas de inicialización de memoria. Entre las correcciones notables del kernel se encuentra la CVE-2026-28931, que podría ser explotada cuando un dispositivo se conecta a un servidor NFS malicioso.

Apple afirmó que el fallo podría provocar la corrupción de la memoria del kernel y lo solucionó mediante una comprobación de límites mejorada. Otra vulnerabilidad, la CVE-2026-43810, podría permitir que un usuario remoto provoque un bloqueo del sistema o corrompa la memoria del kernel.

La actualización también soluciona la CVE-2026-43723 en MediaRemote, una vulnerabilidad que podría permitir a un atacante obtener privilegios de root. El acceso root representa el nivel más alto de control en un iPhone o iPad y podría permitir a un atacante eludir las restricciones normales, acceder a recursos protegidos e interferir con los mecanismos de seguridad.

Apple resolvió este problema mejorando la validación de rutas. También se solucionaron múltiples vulnerabilidades de escape del sandbox. La CVE-2026-64740 en Game Center podría permitir que una aplicación maliciosa salga de su sandbox debido al manejo incorrecto de las rutas de directorio.

Apple corrigió este problema con una validación de rutas más robusta. En un caso aparte, la CVE-2026-28973 en libc podría permitir que una aplicación escape de su sandbox a través de un fallo de desbordamiento de enteros.

El sandboxing es una característica de seguridad central de iOS que aísla cada aplicación de otras apps, archivos del sistema y datos sensibles, lo que hace que las vulnerabilidades de escape del sandbox sean muy valiosas para los atacantes, especialmente cuando se combinan con fallos que permiten la ejecución de código o la escalada de privilegios.

Apple también ha corregido fallos de ejecución de código en AppleDouble, ImageIO y SceneKit. Estos errores podrían activarse mediante archivos, imágenes, texturas o contenido de modelos 3D creados maliciosamente.

En un ataque real, tales fallos podrían explotarse a través de un archivo adjunto trampa, un archivo descargado, contenido de un sitio web o datos de una aplicación maliciosa.

WebKit también recibió varias correcciones de seguridad, incluyendo problemas relacionados con la revelación de memoria, bloqueos de Safari, suplantación de interfaz de usuario, la política de sandbox de iframes y el acceso a archivos fuera del sandbox.

Dado que WebKit impulsa a Safari y el contenido web mostrado en muchas aplicaciones de iOS, debes priorizar esta actualización. Apple no ha confirmado que ninguna de estas vulnerabilidades haya sido explotada en entornos reales.

Sin embargo, la combinación de problemas de memoria del kernel, exposición al acceso root, errores de ejecución de código y escapes del sandbox hace que iOS 26.6 sea un lanzamiento de seguridad crucial. Se te recomienda instalar la actualización lo antes posible a través de Ajustes > General > Actualización de software.