2Qué fallos de seguridad corrige Apple y por qué se consideran graves
El grueso de las correcciones gira en torno a dos fallos de WebKit, el motor que usan Safari y también Chrome en iOS: CVE-2025-43529 y CVE-2025-14174. El primero es un use-after-free que permite ejecutar código arbitrario al procesar contenido web manipulado; el segundo, un acceso a memoria fuera de límites en el renderizador ANGLE basado en Metal, con una puntuación CVSS de 8,8 sobre 10. Apple los parchó el 12 de diciembre de 2025 en iOS 26.2 e iOS 18.7.3, y la agencia estadounidense CISA los añadió a su catálogo de vulnerabilidades explotadas (KEV) el 12 y el 15 de ese mismo mes. La cadena se completó con CVE-2026-20700, una corrupción de memoria en dyld —el cargador dinámico del sistema— que Apple cerró en iOS 26.3 en febrero de 2026 y que, según la compañía, procede del mismo informe.
Lo que convierte estos parches en urgentes no es su número, sino su estado: los tres se explotaron antes de que existiera solución, en ataques que Apple califica de «extremadamente sofisticados» y dirigidos a personas concretas. En la práctica, abrir una página web maliciosa —o un enlace recibido por mensaje— basta para que el fallo de WebKit ejecute código sin permiso del usuario, y el de dyld permite encadenar la escalada. El resultado posible es la instalación silenciosa de spyware con acceso a mensajes, códigos de verificación, contraseñas y sesiones bancarias. La investigación procede del grupo de análisis de amenazas de Google (TAG), lo que apunta a spyware comercial o a actores estatales, con periodistas, activistas, abogados y cargos públicos como objetivos habituales. Apple cerró nueve fallos de día cero explotados a lo largo de 2025. Para los iPhone XS, XS Max y XR, que no pueden pasar a iOS 26, la rama 18.7.x es su única vía de parcheo.
