El código parcheado convierte una coordenada de glifo de punto flotante a un valor de punto fijo de 32 bits. Antes del parche, dos de las ocho funciones manejaban los valores fuera de rango de manera diferente: una saturaba el resultado, la otra lo truncaba.

Esa diferencia provocaba que el cuadro delimitador calculado para un glifo fuera demasiado estrecho. CoreGraphics entonces asignaba un búfer de trabajo más pequeño que los bordes que necesitaba dibujar, y escribía fuera de él.

Para activar el error, los investigadores crearon una fuente TrueType con coordenadas lo suficientemente grandes como para forzar el desbordamiento. Al incrustarla en un PDF con una matriz de texto y un escalado de glifos compuestos anidados, esas coordenadas superan el límite. Publicaron los scripts de generación y un PDF de muestra en un repositorio público de GitHub aquí.

El arnés llama a la misma ruta de miniaturas de ImageIO que usa una aplicación al previsualizar un archivo adjunto recibido. Los investigadores afirman que el fallo ocurre tanto en macOS como en iOS.

El resultado en macOS incluye una pila de llamadas completa del depurador. La afirmación sobre iOS es de Calif, sin que se haya publicado un rastro independiente.

El fallo expone una escritura controlada fuera de límites que afecta a dos valores adyacentes de 16 bits en un búfer que el atacante puede controlar, permitiendo escrituras en el stack o el heap. Calif dice que convertir esa primitiva en la ejecución de código funcional es un trabajo aparte. Calif no obtuvo la muestra real utilizada en ataques y no puede decir cómo completó el atacante la cadena.

La cuestión de WhatsApp

Calif examinó WhatsApp porque se acreditó a Meta Product Security el hallazgo del fallo. La firma comparó dos versiones recientes de WhatsApp, 26.37.73 y 26.38.74, y encontró código nuevo en el escáner de adjuntos Kaleidoscope de WhatsApp.

La versión más reciente lee archivos PDF en busca de flujos de fuentes incrustadas y marca las sospechosas con tres etiquetas de defecto: MalformedFontProgram, UndecodableFontProgram y UnverifiedFontProgram. Cualquier etiqueta de este tipo devuelve una puntuación de alto riesgo al verificador de adjuntos de WhatsApp, que entonces detiene el análisis automático del archivo marcado.

Calif describió esos cambios como evidencia circunstancial que apunta a WhatsApp como un posible vector de entrega. La publicación de la firma describe su investigación como la cobertura de una posible ruta zero-click de WhatsApp.

El análisis publicado no describe ni prueba una ruta de entrega de WhatsApp. La versión inicial sí lo hacía: decía que el análisis de los investigadores sugería que WhatsApp podría entregar un PDF que activa el fallo cuando una víctima abre un chat de un contacto confiable con las descargas automáticas de archivos multimedia activadas.

Esa frase fue eliminada 85 minutos después de la publicación en un commit del CEO de Calif, Thai Duong, quien describió el cambio como la eliminación de la especulación sobre WhatsApp.

El análisis cierra con una pregunta: si el fallo "se combinó con vulnerabilidades adicionales en WhatsApp para llegar al análisis con menos interacción del usuario". Esa redacción sugiere que la ruta que Calif estudió requeriría una acción del usuario o más vulnerabilidades de WhatsApp en la cadena.

WhatsApp no ha publicado ningún aviso que vincule este fallo con sus productos. Su página de avisos de 2026 enumera dos vulnerabilidades no relacionadas.

Se preguntó a Meta si WhatsApp estaba involucrado en los ataques reportados. Meta no respondió antes de la publicación.

Un caso anterior hace que la hipótesis sea plausible. En agosto de 2025, WhatsApp evaluó que un fallo en sus mensajes de sincronización de dispositivos vinculados pudo haber sido combinado con una escritura fuera de límites de Apple independiente y utilizado contra menos de 200 usuarios seleccionados.

Se preguntó a Calif sobre la afirmación de entrega eliminada y si los investigadores habían obtenido la muestra real desde la publicación. Calif no respondió antes de la publicación.

No se han hecho públicos indicadores de red, identificadores de atacantes ni nombres de payloads de exploit. Apple no ha dicho si el Modo de Aislamiento (Lockdown Mode) habría bloqueado la ruta de entrega utilizada en los ataques reportados.

Fuente:
THN