Apple lanzó el 26 de octubre de 2026 las actualizaciones iOS 27.2 y iPadOS 27.2, las cuales corrigen 163 fallos de seguridad. Estas actualizaciones están disponibles para el iPhone 11 y modelos posteriores, así como para diversos iPads. Los problemas más graves se encuentran en WebKit, el motor de Safari y de la mayoría de los navegadores integrados en aplicaciones, donde el contenido web malicioso podría comprometer el dispositivo.

Apple lanzó iOS 27.2 e iPadOS 27.2 el 26 de octubre de 2026, con correcciones para 163 fallos de seguridad. La actualización cubre el iPhone 11 y posteriores, así como una amplia gama de modelos de iPad. Los problemas más graves se encuentran en WebKit, el motor detrás de Safari y de la mayoría de los navegadores integrados en las aplicaciones de los dispositivos Apple. Apple afirma que el contenido web malicioso podría ejecutar código en un dispositivo. Se trata de un riesgo de ejecución remota de código, y es la razón por la que no deberías demorar esta actualización.

Apple publicó la lista completa en su documento de contenido de seguridad para iOS 27.2 e iPadOS 27.2. La compañía no informa del uso activo de estos fallos en ataques reales.

Eso no hace que el parche sea opcional. Una vez que los detalles son públicos, los teléfonos y tabletas no actualizados se convierten en objetivos más fáciles. Según los informes, ninguno de los errores figuraba como explotado, y aun así se te insta a instalar el software pronto.

Vulnerabilidades RCE de WebKit

WebKit es el grupo más grande de correcciones en este lanzamiento. Apple acredita más de 30 problemas de WebKit, y varios de ellos pueden conducir a la ejecución de código si abres una página manipulada. Los casos graves incluyen errores de uso posterior a la liberación (use-after-free) y un error de confusión de tipos.

En términos sencillos, el navegador puede gestionar mal la memoria después de que se cierra una página o confundir un tipo de dato con otro. Un atacante puede entonces aprovechar ese error para ejecutar su propio código dentro del proceso del navegador.

Las correcciones de ejecución de código incluyen CVE-2026-112697, CVE-2026-112655, CVE-2026-112651 y CVE-2026-112623, todos vinculados a fallos de use-after-free. El CVE-2026-112659 es un problema de confusión de tipos. El CVE-2026-112637, CVE-2026-112626 y CVE-2026-112639 son otros errores de use-after-free en WebKit, WebKit Canvas, enlaces de JavaScript de WebKit y el modelo de proceso de WebKit.

Apple los solucionó con una mejor gestión de la memoria. Los créditos incluyen a la investigadora de seguridad de OpenAI Codex Amy Burnett, Chris Rohlf de Anthropic Research, Euntae Jang, Luke Francis y otros.

Dos problemas relacionados con el sandbox aumentan aún más el riesgo. El CVE-2026-113897 puede permitir que un atacante remoto escape del sandbox de contenido web. Apple eliminó el código vulnerable. El CVE-2026-112690, reportado por Claudio Bozzato y Francesco Benvenuto de Cisco Talos, aparece bajo App Store y también puede permitir que un atacante remoto salga del sandbox de WebContent. El escape de un sandbox es importante porque el código que comienza en el navegador puede entonces alcanzar más partes del dispositivo.

Los errores de WebKit tienen un largo historial de uso en el mundo real. A principios de este año, se informó que Apple parcheó un fallo de WebKit de alta gravedad que podía eludir la Política de Mismo Origen. Fallos más antiguos de WebKit también han sido utilizados en campañas de spyware dirigidas. Este lanzamiento no lleva esa advertencia, pero ese patrón es el motivo por el cual las correcciones del navegador en el iPhone se tratan como urgentes.

Vulnerabilidades del Kernel, privacidad y archivos

Las correcciones del kernel son la siguiente preocupación. Se han parcheado unos 15 errores del kernel. Varios pueden bloquear el sistema o corromper la memoria del kernel. Algunos son fallos de use-after-free, incluidos CVE-2026-65350, CVE-2026-112679, CVE-2026-112517 y CVE-2026-112514. Otros pueden escribir en la memoria del kernel o revelar la disposición de la misma, lo que ayuda a un atacante a planear una intrusión más profunda.

Los errores del kernel suelen requerir una aplicación maliciosa o un punto de apoyo previo, por lo que son menos directos que un error web. Aun así, son importantes en una cadena, donde un error de WebKit es el primer paso y un error del kernel es el segundo.

Los errores de privacidad están distribuidos en aplicaciones cotidianas. Un fallo de Apple Intelligence, CVE-2026-86987, puede permitir que un atacante remoto acceda a datos sensibles del usuario en el iPhone 15 Pro y posteriores y en iPads compatibles. Fue reportado por Richard Hyunho Im de Route Zero Security.

Un error de lógica en "Ocultar mi correo", CVE-2026-112500, puede filtrar la dirección de correo electrónico real del usuario. Otras correcciones cubren Contactos, Calendario, CloudKit, Archivos, Fotos, Siri, Atajos y Tiempo de Uso. Un error de Mapas, CVE-2026-112707, podría permitir que una aplicación vea qué otras aplicaciones están instaladas. Un error de CoreMedia, CVE-2026-86990, podría permitir que una aplicación maliciosa use la cámara sin permiso.

Los errores de análisis de archivos son otro conjunto amplio. ImageIO, CoreGraphics, CoreAudio, FontParser y Model I/O recibieron correcciones para imágenes, PDFs, fuentes, audio y modelos 3D manipulados. Muchos de estos solo bloquean una aplicación o filtran la memoria del proceso. Algunos pocos pueden corromper la memoria, lo cual es un paso hacia la ejecución de código si un atacante puede controlar lo que el dispositivo abre. Un error de CoreMedia, CVE-2026-112688, puede conducir a la ejecución de código cuando se analiza un archivo.

Correcciones de Jailbreak y quién debe actualizar

Seis entradas dan crédito a Calif, el equipo que hizo el jailbreak del iPhone Duo el día del lanzamiento y mostró un jailbreak no vinculado en iOS 27.0.1. El investigador de Calif Stefan Esser ha dicho que la mayoría de los errores utilizados para ese jailbreak están corregidos en iOS 27.2.

Esa es una buena noticia para la seguridad del dispositivo y un contratiempo para quienes quieren un jailbreak. También demuestra por qué esperar a un parche grande de Apple es una mala idea. La investigación pública a menudo sigue a una demostración de jailbreak.

Apple también lanzó iOS 26.7.2 e iPadOS 26.7.2 el mismo día para los dispositivos que no han pasado a iOS 27. Estas versiones incluyen muchas de las mismas correcciones. Si todavía estás en iOS 26, deberías instalar la versión 26.7.2 en lugar de saltarte la actualización por no estar en el lanzamiento principal más reciente.

El hardware compatible con iOS 27.2 comienza en el iPhone 11, iPad Pro de 12.9 pulgadas (4.ª gen), iPad Pro de 11 pulgadas (2.ª gen), iPad Air (4.ª gen), iPad (9.ª gen) y iPad mini (6.ª gen).

Para instalar la actualización, abre Ajustes, toca General, luego Actualización de software y sigue las instrucciones. Hacer una copia de seguridad antes de una versión importante sigue siendo prudente. Las organizaciones deberían tratar esto como un parche prioritario debido a los errores de ejecución de código de WebKit, los escapes de sandbox y el volumen de errores del kernel. El historial de Apple en grandes actualizaciones de seguridad multiplataforma muestra el mismo patrón. Los fallos del navegador y del kernel llegan juntos, y las instalaciones retrasadas dejan la ventana más amplia para el abuso.

Apple no ha asignado puntuaciones de gravedad públicas en el aviso, y no ha dicho que ninguno de estos errores esté bajo ataque. La lectura práctica sigue siendo clara. Un sitio web manipulado es suficiente para golpear los peores errores de WebKit, y las correcciones ya se están distribuyendo. Actualiza tus dispositivos iPhone e iPad a iOS 27.2 o iPadOS 27.2, o a iOS 26.7.2 si el dispositivo todavía está en la rama anterior.