Apple ha lanzado una de sus mayores actualizaciones de seguridad coordinadas, solucionando 273 vulnerabilidades críticas en diversos dispositivos, incluyendo iPhone, iPad, Mac, Apple Watch, Apple TV, Vision Pro, Safari y Xcode. Los parches fueron distribuidos el 14 de septiembre de 2026 a través de las versiones 27 de sus sistemas operativos.

Apple ha lanzado uno de sus despliegues de seguridad coordinados más grandes, abordando 273 vulnerabilidades críticas distintas en iPhone, iPad, Mac, Apple Watch, Apple TV, Vision Pro, Safari y Xcode.

Los parches llegaron el 14 de septiembre de 2026, a través de iOS 27, iPadOS 27, macOS Golden Gate 27, watchOS 27, tvOS 27, visionOS 27, Safari 27 y Xcode 27, junto con iOS e iPadOS 26.7, macOS Tahoe 26.7 y macOS Sequoia 15.8.

La cifra de 273 representa identificadores CVE únicos a través de los diez avisos de Apple, no la suma de cada problema enumerado para cada sistema operativo. Muchos fallos afectan a marcos de trabajo compartidos y, en consecuencia, aparecen en varios lanzamientos.

Apple soluciona 273 vulnerabilidades

Los boletines individuales de Apple contienen 1.038 listados de CVE a nivel de producto tras la deduplicación por página, pero esas referencias se reducen a 273 vulnerabilidades únicas cuando se eliminan los solapamientos. macOS Golden Gate 27 tiene la cobertura más amplia con 210 CVE, seguido de macOS Sequoia 15.8 con 154 y macOS Tahoe 26.7 con 153.

Entre las correcciones más graves se encuentra la CVE-2026-65414, una escritura fuera de límites en Bluetooth que podría permitir que un atacante remoto bloquee una aplicación o ejecute código arbitrario.

La CVE-2026-84607, una condición de carrera en AVEVideoEncoder, podría permitir que una aplicación en entorno aislado (sandboxed) ejecute código arbitrario con privilegios de kernel. Apple corrigió estas debilidades mediante una comprobación de límites más estricta y una gestión de estado mejorada, respectivamente, en múltiples familias de dispositivos.

El procesamiento de medios también presenta una superficie de ataque significativa. La CVE-2026-64752 en CoreMedia podría permitir la ejecución de código arbitrario cuando un dispositivo procesa una imagen maliciosamente diseñada, mientras que la CVE-2026-65395 en ImageIO podría corromper la memoria mediante una escritura fuera de límites.

FontParser, CoreText, CoreUI, SceneKit, RealityKit, Model I/O y los controladores de imágenes de disco recibieron correcciones adicionales para desbordamientos de búfer, errores de enteros, divulgación de memoria, bloqueos y otras condiciones de análisis inseguras. En macOS, la actualización cierra varias vías de escalada de privilegios y elusión de controles de seguridad.

Según el aviso de seguridad que publicó Apple, la CVE-2026-84568 en autofs podría permitir que un atacante que controle un servidor de directorios de red ejecute código como root, mientras que la CVE-2026-43692 en CUPS podría permitir que un usuario remoto provoque un bloqueo o la ejecución de código arbitrario.

Otros parches refuerzan Gatekeeper, la aplicación del entorno aislado, la cuarentena de archivos, los controles de privacidad TCC, SMB, WebDAV, APFS, HFS, exFAT y el procesamiento de imágenes de disco.

Apple también solucionó la CVE-2026-65400 en el servidor de pantalla compartida de macOS, un fallo de autenticación que podría permitir a un atacante de red acceder al uso compartido de pantalla sin credenciales válidas.

Las correcciones relacionadas con la privacidad evitan que las aplicaciones lean identificadores persistentes, identifiquen aplicaciones instaladas, accedan a archivos sensibles, modifiquen ubicaciones protegidas del sistema, eludan las preferencias de privacidad o conozcan tu ubicación. Keychain, Iniciar sesión con Apple, CloudKit, NetworkExtension, Spotlight, Fotos, Siri y Atajos estuvieron entre los componentes afectados.

La exposición orientada a la web recibió una atención considerable. Apple parcheó la corrupción de memoria de WebKit, errores de uso después de liberación (use-after-free), divulgación de información, scripting entre sitios (XSS) y errores de bloqueo en todas sus plataformas.

Solo Safari 27 resuelve seis CVE, incluyendo la CVE-2026-86898, que podría permitir el scripting entre sitios universal a través de un webarchive malicioso, y la CVE-2026-64753, que podría exponer información sensible durante el procesamiento de contenido web. Xcode 27 soluciona por separado la CVE-2026-65393, un problema de permisos que podría exponer datos sensibles del usuario.

El alcance de este lanzamiento ilustra la importancia de la arquitectura de software unificada de Apple: una vulnerabilidad en un marco común puede impactar simultáneamente en teléfonos, tabletas, ordenadores, relojes, televisores y dispositivos de computación espacial. También explica por qué deberías evaluar todo tu parque de dispositivos en lugar de parchear solo los iPhones o los Macs.

Los avisos de Apple para este lanzamiento no indican que ninguna de las 273 vulnerabilidades haya sido explotada en el mundo real, pero la información detallada de los CVE puede acelerar el análisis del atacante y el desarrollo de exploits.

Deberías instalar la versión compatible más reciente a través de Actualización de Software tan pronto como sea operativamente posible. Las empresas deberían priorizar los Macs orientados a Internet, los sistemas que procesan medios o archivos no confiables, los dispositivos con Bluetooth activado, las estaciones de trabajo compartidas, las máquinas de desarrolladores y los endpoints que tienen permiso para conectarse a servidores de archivos externos.

Los equipos de seguridad deberían verificar el cumplimiento de las actualizaciones a través de la gestión de dispositivos móviles, probar las aplicaciones críticas y monitorizar bloqueos anormales, escaladas de privilegios, cambios de privacidad no autorizados y actividad sospechosa en los servicios de red.

El despliegue rápido es la forma más clara de reducir tu exposición a esta colección inusualmente grande de fallos de seguridad de Apple. Por lo tanto, este despliegue coordinado merece tu atención inmediata, ya seas consumidor, desarrollador o parte de un equipo de seguridad empresarial en cualquier lugar del mundo.

Fuentes:
https://cybersecuritynews.com/apple-security-update-273-vulnerabilities/