3Qué puede ocurrir si no actualizas: del robo de datos a la ejecución remota de código
El fallo que cierran estas actualizaciones no es un error cosmético: es una escritura fuera de límites en Image I/O, la biblioteca del sistema que abre y procesa archivos de imagen. Un archivo manipulado —una foto recibida por mensajería, un adjunto o una imagen incrustada en una web— puede hacer que el dispositivo escriba datos más allá del espacio de memoria reservado; el resultado es corrupción de memoria y, en el peor escenario, ejecución remota de código, es decir, que un tercero ejecute instrucciones propias dentro del iPhone con los privilegios del sistema. Ahí está la diferencia entre una fuga de información y una entrega del dispositivo. Apple registró el problema como CVE-2025-43300, lo corrigió el 20 de agosto con iOS 18.6.2 y admitió que había sido explotado en un «ataque extremadamente sofisticado» contra personas concretas.
El episodio no se quedó en teoría. Meta confirmó que su fallo CVE-2025-55177, en la sincronización de dispositivos vinculados de WhatsApp, se encadenó con esta vulnerabilidad de Apple en una campaña de spyware activa durante unos 90 días. La combinación permitía un ataque de «clic cero»: la víctima no tenía que pulsar nada, solo recibir el mensaje. Amnesty International siguió los casos y WhatsApp envió avisos a los afectados —menos de 200 en todo el mundo, según la compañía— recomendándoles restablecer el teléfono a valores de fábrica, porque actualizar no siempre elimina un programa espía ya instalado. Los objetivos eran periodistas, activistas y cargos públicos, pero la explotación de este tipo de fallos acaba reutilizándose en ataques más amplios. Quien no actualice mantiene abierta una puerta que ya se ha visto forzar en la vida real.
