Si en tu empresa todavía hay un iPhone XS o XR, este lunes por fin recibió el parche que le faltaba. Apple publicó el 26 de octubre de 2026 una ronda de actualizaciones de seguridad para todas sus plataformas, y entre ellas viene iOS 18.7.11, que lleva a iPhone XS, XS Max, XR y iPad de 7.ª generación la corrección de CVE-2026-86950: la falla de CoreGraphics que Apple reconoció como explotada en septiembre.
En su momento te contamos que Apple corrigió ese día cero con iOS 26.7.1, pero esa versión es para iPhone 11 y posteriores. Los modelos que se quedaron en iOS 18 pasaron casi un mes con una falla conocida, explotada y sin parche. CISA la había metido a su catálogo de vulnerabilidades explotadas (KEV) el 29 de septiembre.
Junto con eso, salieron iOS 27.2 e iOS 26.7.2, cada uno con más de 130 CVE corregidos según nuestro conteo de las notas de Apple. Ninguno de esos está marcado como explotado, pero varios permiten ejecutar código con solo abrir una página web o un archivo.
Qué versión le toca a cada equipo
Todas tienen fecha 26 de octubre de 2026 en la página de actualizaciones de seguridad de Apple:
| Si el equipo es… | Debe quedar en | Qué trae |
|---|---|---|
| iPhone 11 o posterior que ya pasó a iOS 27 | iOS 27.2 | Unos 160 CVE; ninguno marcado como explotado |
| iPhone 11 o posterior que sigue en iOS 26 | iOS 26.7.2 | Unos 134 CVE; ninguno marcado como explotado |
| iPhone XS, XS Max, XR, iPad 7.ª gen. | iOS 18.7.11 | 3 CVE, incluido el día cero CVE-2026-86950 |
| Mac con macOS Golden Gate | macOS 27.2 | Ronda del 26-oct |
| Mac con macOS Tahoe | macOS 26.7.2 | Ronda del 26-oct |
| Mac con macOS Sequoia | macOS 15.8.2 | Unos 195 CVE, ninguno marcado como explotado |
| Safari en Sequoia o Tahoe | Safari 27.2 | Correcciones de WebKit |
El mismo día salieron watchOS, tvOS y visionOS 27.2, y tvOS 26.6.1 para Apple TV antiguos. El resumen del podcast Cyber Hub del 28 de octubre habla de 286 correcciones en total; Apple no publica un número consolidado y los conteos por plataforma se traslapan, así que tómalo como orden de magnitud.
Qué corrige iOS 18.7.11
La nota de seguridad de Apple para iOS 18.7.11 enumera solo tres fallas:
| CVE | Componente | Efecto según Apple |
|---|---|---|
| CVE-2026-86950 | CoreGraphics | Procesar un archivo manipulado puede llevar a ejecución de código. Apple dice que pudo explotarse en un ataque "extremadamente sofisticado" contra personas específicas, en versiones anteriores a iOS 27 |
| CVE-2026-86990 | CoreMedia | Una app maliciosa podría acceder a la cámara sin permiso del usuario |
| CVE-2026-65339 | Audio | Una app podría filtrar información sensible del usuario |
La primera es la que importa. CoreGraphics es el componente que dibuja imágenes, PDF y documentos, así que el ataque puede llegar como un adjunto, una imagen en un chat o una vista previa. Que haya sido dirigido a personas específicas no te deja fuera: una vez que el parche es público, otros atacantes estudian la falla, y los objetivos típicos son directivos y personal de finanzas.
Lo relevante en iOS 27.2 e iOS 26.7.2
Ninguna entrada de estas dos versiones dice que la falla haya sido explotada. Pero la lista incluye el tipo de errores que más se aprovechan:
- WebKit, el motor de Safari y de cualquier navegador en iPhone: varias fallas en las que contenido web malicioso puede llevar a ejecución de código (por ejemplo, CVE-2026-112697 y CVE-2026-112659, presentes en ambas versiones), y una que permite escapar del aislamiento del contenido web (CVE-2026-113897 en iOS 27.2).
- ImageIO y CoreMedia: una imagen o un archivo manipulado puede ejecutar código (CVE-2026-64759 en iOS 26.7.2; CVE-2026-112688 en iOS 27.2).
- Kernel: una app podría escribir en la memoria del sistema (CVE-2026-84495, en ambas).
- Certificados: en iOS 27.2, una app maliciosa podría saltarse la validación de certificados (CVE-2026-112652). Es justo lo que protege la conexión de tus apps con el banco o con tu ERP en la nube.
En Mac, la nota de macOS Sequoia 15.8.2 incluye una falla del kernel con la que un atacante sin privilegios podría ejecutar código como administrador (CVE-2026-112438). Tampoco está marcada como explotada.
Contexto
Apple publicó todas estas versiones el lunes 26 de octubre de 2026, según su página de actualizaciones de seguridad (support.apple.com/100100) y las notas individuales de cada versión, que revisamos el 28 de octubre. CVE-2026-86950 lo reportó el equipo de seguridad de producto de Meta; Apple lo corrigió primero el 28 de septiembre en iOS 26.7.1 y macOS 26.7.1, y CISA lo agregó al KEV el 29 de septiembre con plazo al 2 de octubre para las agencias federales de Estados Unidos.
El patrón no es nuevo: los teléfonos más viejos de la empresa son los que nadie administra. En Android pasa lo mismo, y peor, como vimos con el malware que llega preinstalado en celulares baratos. Y en las computadoras, Windows 11 23H2 y 24H2 dejan de recibir actualizaciones el 10 de noviembre: es buen momento para revisar todos los equipos de una vez.
Qué hacer esta semana
- Haz el inventario. Lista cada iPhone, iPad y Mac que toque correo, banca o sistemas de la empresa, con su modelo y versión. En el iPhone: Configuración > General > Información.
- Actualiza primero los iPhone XS y XR a iOS 18.7.11. Son los únicos que llevaban un mes con la falla explotada abierta.
- Actualiza el resto a iOS 27.2 o 26.7.2, y las Mac a la versión que les corresponda según la tabla. Empieza por dirección, finanzas y quien autoriza pagos.
- Retira el acceso a los equipos que no reciben parches. Si un teléfono no puede instalar ninguna de las tres versiones, sácalo del correo y de las apps de la empresa.
- Si tienes más de 10 equipos, pon un MDM. Intune, Jamf o la consola de Google Workspace permiten exigir versión mínima y bloquear a quien no cumpla. Si tus líneas son corporativas, aprovecha para cruzarlas con el registro de líneas celulares de la empresa.
Dispositivos de la empresa
Que el próximo parche urgente se instale solo
Inventariamos tus celulares y computadoras, configuramos la administración centralizada con versión mínima obligatoria y te dejamos un reporte mensual de qué equipo está atrasado.
