Acerca del contenido de seguridad de Safari 26.6

En este documento, se describe el contenido de seguridad de Safari 26.6.

Acerca de las actualizaciones de seguridad de Apple

Con el fin de proteger a nuestros clientes, Apple no revelará, discutirá ni confirmará problemas de seguridad hasta que se haya llevado a cabo una investigación y estén disponibles las correcciones o versiones correspondientes. Las versiones recientes se enumeran en la página Versiones de seguridad de Apple.

Para hacer referencia a las vulnerabilidades en los documentos de seguridad de Apple, se usan ID CVE siempre que sea posible.

Para obtener más información sobre los aspectos de seguridad, consulta la página de seguridad de los productos Apple.

Safari 26.6

Safari

Disponible para macOS Sonoma y macOS Sequoia

Impacto: Una app podía acceder a datos confidenciales del usuario.

Descripción: Se mejoró la administración de estados para solucionar un problema de autorización.

CVE-2026-43792: Ilya Andr (andrd3v)

WebKit

Disponible para macOS Sonoma y macOS Sequoia

Impacto: Los sitios web podían saber si el usuario había visitado un enlace determinado.

Descripción: Para solucionar este problema, se mejoraron las comprobaciones.

CVE-2026-64713: Kwak Kiyong, Song Nuri

WebKit

Disponible para macOS Sonoma y macOS Sequoia

Impacto: Visitar un sitio web con contenido malicioso podía provocar una suplantación en la interfaz del usuario.

Descripción: Para solucionar este problema, se mejoró la interfaz de usuario.

CVE-2026-64730: Kagami Rosylight de Mozilla

WebKit

Disponible para macOS Sonoma y macOS Sequoia

Impacto: El contenido web creado con fines malintencionados podía infringir la política de la zona protegida de iFrame

Descripción: Se mejoró la validación para solucionar un problema de permisos.

CVE-2026-64728: Un investigador anónimo

WebKit

Disponible para macOS Sonoma y macOS Sequoia

Impacto: el procesamiento de contenido web creado con fines malintencionados podía provocar el cierre inesperado de Safari

Descripción: Para solucionar un problema de uso después de liberación, se mejoró la administración de la memoria.

CVE-2026-64783: 杉山 壮太, lattice, Behzad Najjarpour Jabbari (@_G4ru_), Junyeong Lee, Mooth.ai, OGINOME Tomohito, con GLM de Z.AI, Gia Bui (@yabeow) de Calif.io

WebKit

Disponible para macOS Sonoma y macOS Sequoia

Impacto: el procesamiento de contenido web creado con fines malintencionados podía provocar el cierre inesperado de Safari

Descripción: Para solucionar un problema de daños en la memoria, se mejoró la administración de estados.

CVE-2026-64757: Milad Nasr y Nicholas Carlini con Claude, Anthropic

WebKit

Disponible para macOS Sonoma y macOS Sequoia

Impacto: Es posible que visitar un sitio web pueda provocar una denegación de servicio de app

Descripción: Para solucionar este problema, se mejoró la administración del estado.

CVE-2026-43804: Heiko Kiesel de SEEMOO, TU Darmstadt

WebKit

Disponible para macOS Sonoma y macOS Sequoia

Impacto: Es posible que una app pueda leer archivos fuera de su zona protegida

Descripción: Para solucionar un problema de acceso, se mejoró las restricciones de acceso.

CVE-2026-43821: Brian Carpenter

WebKit Canvas

Disponible para macOS Sonoma y macOS Sequoia

Impacto: el procesamiento de contenido web creado con fines malintencionados podía provocar el cierre inesperado de Safari

Descripción: Para solucionar un problema de uso después de liberación, se mejoró la administración de la memoria.

CVE-2026-64718: OGINOME Tomohito, un investigador anónimo

WebRTC

Disponible para macOS Sonoma y macOS Sequoia

Impacto: el procesamiento de contenido web creado con fines malintencionados podía provocar el cierre inesperado de Safari

Descripción: Se mejoró la comprobación de límites para solucionar un problema de acceso fuera de los límites.

CVE-2026-64719: Shaheen Fazim

Otros agradecimientos

Safari Downloads

Nos gustaría darle las gracias a Alfaz Hossain por su ayuda.

WebKit

Nos gustaría darles las gracias a Jaya Surya Kommireddy, Jaya surya Kommireddy, Lukas Knittel (@kunte_ctf) de Ruhr-University Bochum, Nikos Fanourakis de la Universidad Técnica de Creta, Sotiris Ioannidis de la Universidad Técnica de Creta, Panagiotis Ilia de la Universidad Tecnológica de Chipre y Kostas Drakonakis de la Universidad Técnica de Creta Tony Gorez (@tonygo_) de Reverse Society, Vitaly Simonovich, Youngjoon Kim de Team-Atlanta y sslab en Georgia Tech, s3zer0 por su ayuda.

WebKit Canvas

Nos gustaría darles las gracias a Codex Security - Khai Tran, Daisuke Hatakeyama y Ryohei Ueki (@SYZD Research), David Bors en Snyk Security Labs, Giovanni Vignone y Robert van Eijk de Octane Security (octane.security), Kwak Kiyong, Song nuri, Luat Nguyen (CyberJutsu Academy), Tom Van Goethem, un investigador anónimo, dr3dd por su ayuda.

WebKit Storage

Nos gustaría darles las gracias a Gurpreet Shergill, Luke Francis, Milad Nasr y Nicholas Carlini con Claude, Anthropic, Oleh Konko de 1seal (1seal.org), Vitaly Simonovich por su ayuda.