Dos vulnerabilidades podían permitir entrar en grupos de iMessage y consultar conversaciones anteriores. La actualización también corrige fallos de Bluetooth, AirPlay y Brotli.
La seguridad de las conversaciones privadas de Apple ha vuelto a quedar bajo escrutinio. La compañía ha publicado una actualización para solucionar dos vulnerabilidades de iMessage que podían comprometer la privacidad de los chats grupales: una permitía que un atacante remoto se incorporase a una conversación y recibiese sus mensajes; otra hacía posible que una persona añadida a un grupo accediese al historial anterior a su entrada.
Los fallos, identificados como CVE-2026-113961 y CVE-2026-113960, afectan a una de las funciones más utilizadas del ecosistema de Apple. La compañía reconoce en sus avisos técnicos que el problema de acceso a grupos estaba relacionado con un error de autorización y que lo ha corregido mediante una validación mejorada. El segundo fallo se solucionó eliminando el código vulnerable. (Apple Support)
La actualización, publicada el 9 de noviembre de 2026, no se limita a iMessage. También incorpora correcciones para vulnerabilidades de Bluetooth y AirPlay, además de un fallo en la biblioteca de compresión Brotli de Google que puede provocar corrupción de memoria al procesar datos manipulados.
La advertencia tiene especial relevancia porque Apple no ha aclarado si las dos vulnerabilidades de iMessage llegaron a utilizarse en ataques reales, qué requisitos necesitaría cumplir un atacante ni si todos los integrantes de un grupo deben instalar la actualización para quedar protegidos.
Dos fallos de iMessage que ponían en riesgo la privacidad de los grupos
Las vulnerabilidades corregidas afectan a dos aspectos diferentes de la privacidad de las conversaciones grupales.
La primera, CVE-2026-113961, podía permitir que un atacante remoto se incorporase a un grupo de iMessage y recibiese los mensajes intercambiados por sus participantes. Se trata de un problema de autorización: el sistema no verificaba correctamente si la incorporación estaba permitida.
En la práctica, una vulnerabilidad de este tipo puede comprometer la confidencialidad de una conversación. Los grupos de mensajería suelen contener información personal, fotografías, documentos, datos familiares e incluso comunicaciones relacionadas con el trabajo.
El segundo fallo, CVE-2026-113960, tenía una consecuencia diferente. Permitía que un usuario añadido a un grupo pudiera acceder a mensajes enviados antes de su incorporación.
La distinción es importante:
- CVE-2026-113961: un atacante remoto podía incorporarse a un grupo y recibir sus mensajes.
- CVE-2026-113960: una persona añadida a una conversación podía acceder a mensajes anteriores a su entrada.
Apple ha confirmado ambas vulnerabilidades en su documentación de seguridad. Sin embargo, no ha publicado detalles suficientes para determinar cómo podría materializarse cada ataque en todos los escenarios ni qué señales podrían detectar los usuarios afectados.
Apple no confirma si los fallos de iMessage fueron explotados
Uno de los aspectos que más incertidumbre genera es la ausencia de información sobre posibles ataques reales.
En sus avisos de seguridad, Apple no confirma si las vulnerabilidades de iMessage fueron explotadas antes de la publicación de los parches. Tampoco detalla qué condiciones técnicas tendría que reunir un atacante para aprovecharlas.
La compañía no aclara, además, si los integrantes de un grupo podrían detectar una incorporación realizada mediante el fallo ni si todos los participantes necesitan actualizar sus dispositivos para garantizar la protección de la conversación.
Esta falta de información no demuestra que se hayan producido intrusiones, pero tampoco permite descartar que alguien haya intentado aprovechar las vulnerabilidades.
En materia de ciberseguridad, la publicación de una corrección no debe interpretarse como prueba de que un ataque haya ocurrido. Significa que el fabricante ha identificado un problema y ha distribuido una solución para reducir el riesgo.
La recomendación para los usuarios es clara: instalar cuanto antes la versión de seguridad correspondiente al dispositivo, sin esperar a que aparezcan indicios de una posible intrusión.
iOS 27.2.1 incorpora las correcciones de seguridad
Apple distribuyó las soluciones mediante actualizaciones específicas para sus distintos sistemas operativos. En el caso de los dispositivos compatibles con la versión más reciente, las vulnerabilidades de iMessage aparecen recogidas en el aviso de seguridad de iOS 27.2.1 y iPadOS 27.2.1.
La documentación oficial identifica los dos fallos dentro del componente Messages y especifica las medidas técnicas utilizadas para corregirlos.
La compañía también publicó actualizaciones para otras ramas de sus sistemas. No obstante, no todos los avisos de las versiones distribuidas incluyen las mismas correcciones.
En particular, The Hacker News advierte de que las notas de iOS 18.7.12 y watchOS 26.6.1 no mencionan los dos fallos de iMessage ni la vulnerabilidad de Brotli. Tampoco figuran esas correcciones en las actualizaciones citadas para determinados dispositivos antiguos, como los iPhone XS, XS Max y XR, el iPad de séptima generación y algunos modelos de Apple Watch.
Esto no permite concluir automáticamente que todos esos dispositivos sigan siendo vulnerables. Apple no ha aclarado en esos avisos si los modelos afectados por la ausencia de las correcciones están expuestos o si existen otras medidas de protección.
Por ello, los usuarios deben comprobar las notas de seguridad correspondientes a su modelo y versión, en lugar de asumir que cualquier actualización reciente incluye necesariamente todos los parches.
Bluetooth: los fallos también podían facilitar emparejamientos no autorizados
El paquete de actualizaciones incorpora otras correcciones importantes relacionadas con Bluetooth y AirPlay.
Según los avisos de Apple, algunas vulnerabilidades podían permitir que un dispositivo Bluetooth malicioso estableciese un emparejamiento sin que el usuario tuviera que intervenir.
Otras deficiencias permitían eludir los límites de intentos para introducir códigos de emparejamiento. Los escenarios descritos incluyen atacantes situados dentro del alcance de Bluetooth y otros que se encontraran en la misma red que el dispositivo objetivo.
La compañía también corrigió un fallo que podía permitir a un atacante dentro del alcance de Bluetooth corromper la memoria de un proceso.
Estas vulnerabilidades amplían el alcance de la actualización más allá de la mensajería. Bluetooth y AirPlay son tecnologías presentes en numerosos dispositivos Apple y se utilizan para conectar accesorios, reproducir contenidos y comunicarse con otros equipos.
Los fallos de emparejamiento merecen especial atención porque afectan a una operación que los usuarios realizan habitualmente. La posibilidad de establecer conexiones sin una autorización adecuada puede abrir la puerta a situaciones de riesgo, aunque Apple no ha detallado qué acciones podrían realizarse después de conseguir ese emparejamiento.
Brotli: otra vulnerabilidad relevante corregida por Apple
La actualización también soluciona un problema en Brotli, una biblioteca de compresión desarrollada por Google y utilizada por diferentes productos y servicios tecnológicos.
La vulnerabilidad está identificada como CVE-2026-111497 y consiste en una escritura fuera de los límites de memoria (out-of-bounds write) en el decodificador de Brotli.
Este tipo de fallo puede provocar que un programa escriba datos en una zona de memoria que no debería modificar. Si un atacante consigue procesar contenido especialmente preparado para aprovechar el defecto, podría provocar corrupción de memoria y afectar a la estabilidad o seguridad del proceso.
La vulnerabilidad tiene una relevancia adicional: la Agencia de Ciberseguridad y Seguridad de las Infraestructuras de Estados Unidos (CISA) la incorporó el 27 de octubre de 2026 a su catálogo de vulnerabilidades explotadas conocidas, denominado Known Exploited Vulnerabilities (KEV).
La inclusión en ese catálogo constituye una señal de especial atención para los responsables de seguridad informática, ya que CISA lo utiliza para identificar vulnerabilidades con evidencias de explotación y priorizar su corrección.
Apple ha incluido la solución para Brotli en sus actualizaciones de seguridad, aunque sus notas no detallan ataques concretos contra sus dispositivos relacionados con este fallo.
Qué deben hacer los usuarios de iPhone, iPad y Apple Watch
La primera medida consiste en comprobar si existe una actualización de seguridad disponible para el dispositivo.
En un iPhone o iPad, el procedimiento habitual es:
- Abrir Ajustes.
- Entrar en General.
- Seleccionar Actualización de software.
- Comprobar si hay una nueva versión disponible.
- Instalar la actualización correspondiente y reiniciar el dispositivo si el sistema lo solicita.
En el Apple Watch, el usuario puede consultar las actualizaciones desde la aplicación Watch del iPhone, en el apartado General y Actualización de software, o desde los ajustes del propio reloj.
Conviene comprobar también que la versión instalada incluye las correcciones de seguridad pertinentes. No basta con haber actualizado recientemente si el paquete distribuido para ese modelo no incorpora los parches de iMessage o Brotli.
Hasta que se instale la versión adecuada, es prudente evitar compartir información especialmente sensible en conversaciones grupales cuya composición no se haya comprobado. También conviene revisar los participantes de los grupos y prestar atención a solicitudes de emparejamiento Bluetooth inesperadas.
Estas precauciones no sustituyen a las actualizaciones, pero ayudan a reducir la exposición mientras se comprueba la situación del dispositivo.
La seguridad del ecosistema Apple vuelve a estar bajo presión
Los fallos publicados muestran que incluso los sistemas tecnológicos que cuentan con mecanismos avanzados de protección pueden presentar errores en funciones tan habituales como la mensajería o la conexión inalámbrica.
El caso de iMessage resulta especialmente delicado porque afecta a la confianza que los usuarios depositan en la privacidad de sus conversaciones. Una aplicación de mensajería no solo debe proteger el contenido de los mensajes: también debe controlar quién puede entrar en un grupo y qué información tiene derecho a consultar.
La vulnerabilidad de acceso al historial anterior demuestra que la gestión de los permisos de una conversación es tan importante como el cifrado de su contenido. La privacidad no depende únicamente de que los mensajes estén protegidos durante su transmisión, sino también de que el sistema controle correctamente quién puede recibirlos.
Apple ha distribuido las correcciones, pero todavía quedan preguntas sin respuesta sobre el alcance de los fallos, su posible explotación y la situación de determinados dispositivos y versiones antiguas.
La prioridad para los usuarios debe ser actualizar sus equipos y verificar que el parche correspondiente está instalado. En seguridad digital, retrasar una actualización que corrige vulnerabilidades documentadas puede dejar una puerta abierta que el fabricante ya ha identificado y se ha esforzado por cerrar.
Chollones
Chollones
Chollones