Acerca del contenido de seguridad de iOS 18.7.7 y iPadOS 18.7.7

Acerca del contenido de seguridad de iOS 18.7.7 y iPadOS 18.7.7.

Acerca de las actualizaciones de seguridad de Apple

Con el fin de proteger a nuestros clientes, Apple no revelará, discutirá ni confirmará problemas de seguridad hasta que se haya llevado a cabo una investigación y estén disponibles las correcciones o versiones correspondientes. Los lanzamientos recientes aparecen en la página Versiones de seguridad de Apple.

Para hacer referencia a las vulnerabilidades en los documentos de seguridad de Apple, se usan ID CVE siempre que sea posible.

Para obtener más información sobre los aspectos de seguridad, consulta la página de seguridad de los productos Apple.

iOS 18.7.7 y iPadOS 18.7.7

802.1X

Disponible para los siguientes modelos: iPhone XS, iPhone XS Max, iPhone XR, iPad (séptima generación)

Impacto: Un atacante con una posición de red privilegiada podía interceptar el tráfico de red.

Descripción: Para solucionar un problema de autenticación, se mejoró la administración de estados.

CVE-2026-28865: Héloïse Gollier y Mathy Vanhoef (KU Leuven)

AppleKeyStore

Disponible para los siguientes modelos: iPhone XS, iPhone XS Max, iPhone XR, iPad (séptima generación)

Impacto: Una app podía provocar el cierre inesperado del sistema

Descripción: Para solucionar un problema de uso después de liberación, se mejoró la administración de la memoria.

CVE-2026-20637: Johnny Franks (zeroxjf), un investigador anónimo

Audio

Disponible para los siguientes modelos: iPhone XS, iPhone XS Max, iPhone XR, iPad (séptima generación)

Impacto: El procesamiento de contenido web creado con fines malintencionados podía provocar el cierre inesperado del proceso.

Descripción: Para solucionar un problema de uso después de liberación, se mejoró la administración de la memoria.

CVE-2026-28879: Justin Cohen de Google

Clipboard

Disponible para los siguientes modelos: iPhone XS, iPhone XS Max, iPhone XR, iPad (séptima generación)

Impacto: Una app podía acceder a datos confidenciales del usuario.

Descripción: Para solucionar este problema, se mejoró la validación de enlaces simbólicos.

CVE-2026-28866: Cristian Dinca (icmd.tech)

CoreMedia

Disponible para los siguientes modelos: iPhone XS, iPhone XS Max, iPhone XR, iPad (séptima generación)

Impacto: El procesamiento de una secuencia de audio en un archivo multimedia creado con fines malintencionados podía dar por terminado el proceso.

Descripción: Se mejoró la comprobación de límites para solucionar un problema de acceso fuera de los límites.

CVE-2026-20690: Hossein Lotfi (@hosselot) del programa Zero Day Initiative de Trend Micro

CoreUtils

Disponible para los siguientes modelos: iPhone XS, iPhone XS Max, iPhone XR, iPad (séptima generación)

Impacto: Un usuario con una posición de red privilegiada podía provocar una denegación de servicio.

Descripción: Se mejoró la validación de entradas para solucionar un problema de falta de referencia de puntero nulo.

CVE-2026-28886: Etienne Charron (Renault) y Victoria Martini (Renault)

Crash Reporter

Disponible para los siguientes modelos: iPhone XS, iPhone XS Max, iPhone XR, iPad (séptima generación)

Impacto: Es posible que una app pueda enumerar las aplicaciones instaladas por el usuario

Descripción: Se solucionó un problema de privacidad eliminando datos confidenciales.

CVE-2026-28878: Zhongcheng Li de IES Red Team

curl

Disponible para los siguientes modelos: iPhone XS, iPhone XS Max, iPhone XR, iPad (séptima generación)

Impacto: Había un problema en curl que podía ocasionar que se enviara accidentalmente información confidencial por medio de una conexión incorrecta.

Descripción: Esta es una vulnerabilidad en código abierto y el software de Apple está entre los proyectos afectados. Un proveedor independiente asignó el ID CVE. Obtén más información sobre el problema y el ID CVE en cve.org.

CVE-2025-14524

DeviceLink

Disponible para los siguientes modelos: iPhone XS, iPhone XS Max, iPhone XR, iPad (séptima generación)

Impacto: Una app podía acceder a datos confidenciales del usuario.

Descripción: Se mejoró la validación de rutas para solucionar un problema de análisis sintáctico en el manejo de rutas de directorios.

CVE-2026-28876: Andreas Jaegersberger y Ro Achterberg de Nosebeard Labs

Focus

Disponible para los siguientes modelos: iPhone XS, iPhone XS Max, iPhone XR, iPad (séptima generación)

Impacto: Una app podía acceder a datos confidenciales del usuario.

Descripción: Para solucionar un problema de inicio de sesión, se mejoró la redacción de datos.

CVE-2026-20668: Kirin (@Pwnrin)

iCloud

Disponible para los siguientes modelos: iPhone XS, iPhone XS Max, iPhone XR, iPad (séptima generación)

Impacto: Es posible que una app pueda enumerar las aplicaciones instaladas por el usuario

Descripción: Se solucionó un problema de permisos mediante restricciones adicionales.

CVE-2026-28880: Zhongcheng Li de IES Red Team

ImageIO

Disponible para los siguientes modelos: iPhone XS, iPhone XS Max, iPhone XR, iPad (séptima generación)

Impacto: El procesamiento de un archivo de creado con fines malintencionados podía provocar el cierre inesperado de la app.

Descripción: Esta es una vulnerabilidad en código abierto y el software de Apple está entre los proyectos afectados. Un proveedor independiente asignó el ID CVE. Obtén más información sobre el problema y el ID CVE en cve.org.

CVE-2025-64505

iTunes Store

Disponible para los siguientes modelos: iPhone XS, iPhone XS Max, iPhone XR, iPad (séptima generación)

Impacto: Un usuario con acceso físico a un dispositivo iOS podía eludir el bloqueo de activación.

Descripción: Se mejoró la validación para solucionar un problema de manejo de rutas.

CVE-2025-43534: iG0x72 y JJ de XiguaSec, Lehan Dilusha Jayasinghe

Kernel

Disponible para los siguientes modelos: iPhone XS, iPhone XS Max, iPhone XR, iPad (séptima generación)

Impacto: Una app podía divulgar la memoria del kernel

Descripción: Para solucionar un problema de inicio de sesión, se mejoró la redacción de datos.

CVE-2026-28868: 이동하 (Lee Dong Ha de BoB 0xB6)

Kernel

Disponible para los siguientes modelos: iPhone XS, iPhone XS Max, iPhone XR, iPad (séptima generación)

Impacto: Una app podía filtrar el estado confidencial del kernel.

Descripción: Para solucionar este problema, se mejoró el proceso de autenticación.

CVE-2026-28867: Jian Lee (@speedyfriend433)

Kernel

Disponible para los siguientes modelos: iPhone XS, iPhone XS Max, iPhone XR, iPad (séptima generación)

Impacto: Es posible que una app pueda provocar el cierre inesperado del sistema o escribir la memoria del kernel.

Descripción: Para solucionar un problema de uso después de liberación, se mejoró la administración de la memoria.

CVE-2026-20687: Johnny Franks (@zeroxjf)

mDNSResponder

Disponible para los siguientes modelos: iPhone XS, iPhone XS Max, iPhone XR, iPad (séptima generación)

Impacto: Una app podía filtrar el estado confidencial del kernel.

Descripción: Para solucionar este problema, se mejoró el proceso de autenticación.

CVE-2026-28867: Jian Lee (@speedyfriend433)

Security

Disponible para los siguientes modelos: iPhone XS, iPhone XS Max, iPhone XR, iPad (séptima generación)

Impacto: Un atacante local podría obtener acceso a los elementos del llavero de un usuario

Descripción: Para solucionar este problema, se mejoró la comprobación de permisos.

CVE-2026-28864: Alex Radocea

UIFoundation

Disponible para los siguientes modelos: iPhone XS, iPhone XS Max, iPhone XR, iPad (séptima generación)

Impacto: Una app podía provocar una denegación de servicio.

Descripción: Se solucionó un problema de desbordamiento de pila mejorando la validación de entradas.

CVE-2026-28852: Caspian Tarafdar

Vision

Disponible para los siguientes modelos: iPhone XS, iPhone XS Max, iPhone XR, iPad (séptima generación)

Impacto: Es posible que el análisis de un archivo creado con fines malintencionados pueda provocar el cierre inesperado de la app

Descripción: Para solucionar este problema, se mejoró el manejo de la memoria.

CVE-2026-20657: Andrew Becker

WebKit

Disponible para los siguientes modelos: iPhone XS, iPhone XS Max, iPhone XR, iPad (séptima generación)

Impacto: El procesamiento de contenido web creado con fines malintencionados podía evitar que se aplicaran las políticas de seguridad del contenido.

Descripción: Para solucionar este problema, se mejoró la administración del estado.

CVE-2026-20665: webb

WebKit

Disponible para los siguientes modelos: iPhone XS, iPhone XS Max, iPhone XR, iPad (séptima generación)

Impacto: El procesamiento de contenido web creado con fines malintencionados podía omitir la política del mismo origen.

Descripción: Se mejoró la validación de entradas para solucionar un problema de origen cruzado en la API de navegación.

CVE-2026-20643: Thomas Espach

WebKit

Disponible para los siguientes modelos: iPhone XS, iPhone XS Max, iPhone XR, iPad (séptima generación)

Impacto: Un atacante remoto podía ver consultas de DNS filtradas al tener la Retransmisión privada activada.

Descripción: Se mejoró la administración de estados para solucionar un problema de lógica.

CVE-2025-43376: Mike Cardwell de grepular.com, Bob Lord

WebKit

Disponible para los siguientes modelos: iPhone XS, iPhone XS Max, iPhone XR, iPad (séptima generación)

Impacto: Un sitio web creado con fines malintencionados podía acceder a controladores de mensajes de script diseñados para otros orígenes.

Descripción: Se mejoró la administración de estados para solucionar un problema de lógica.

CVE-2026-28861: Hongze Wu y Shuaike Dong del equipo de seguridad de infraestructura de ANT Group

WebKit

Disponible para los siguientes modelos: iPhone XS, iPhone XS Max, iPhone XR, iPad (séptima generación)

Impacto: Visitar un sitio web creado con fines malintencionados podía derivar en un ataque de scripts entre sitios.

Descripción: Se mejoraron las comprobaciones para solucionar un problema de lógica.

CVE-2026-28871: @hamayanhamayan

Otros agradecimientos

Safari

Nos gustaría darle las gracias a @RenwaX23 por su ayuda.