Acerca del contenido de seguridad de iOS 18.7.7 y iPadOS 18.7.7

Acerca del contenido de seguridad de iOS 18.7.7 y iPadOS 18.7.7.

Acerca de las actualizaciones de seguridad de Apple

Con el fin de proteger a nuestros clientes, Apple no revelará, discutirá ni confirmará problemas de seguridad hasta que se haya llevado a cabo una investigación y estén disponibles las correcciones o versiones correspondientes. Los lanzamientos recientes aparecen en la página Versiones de seguridad de Apple.

Para hacer referencia a las vulnerabilidades en los documentos de seguridad de Apple, se usan ID CVE siempre que sea posible.

Para obtener más información sobre los aspectos de seguridad, consulta la página de seguridad de los productos Apple.

iOS 18.7.7 y iPadOS 18.7.7

Publicado el martes, 24 de marzo de 2026

Nota: El 1 de abril de 2026 ampliamos la disponibilidad de iOS 18.7.7 a más dispositivos, por lo que los usuarios que tengan activadas las actualizaciones automáticas podrán recibir automáticamente importantes medidas de seguridad contra los ataques web denominados DarkSword. Las correcciones relacionadas con la falla de seguridad DarkSword se lanzaron por primera vez en 2025.

802.1X

Disponible para: iPhone XR, iPhone XS, iPhone XS Max, iPhone 11 (todos los modelos), iPhone SE (2.ª generación), iPhone 12 (todos los modelos), iPhone 13 (todos los modelos), iPhone SE (3.ª generación), iPhone 14 (todos los modelos), iPhone 15 (todos los modelos), iPhone 16 (todos los modelos), iPhone 16e, iPad mini (5.ª generación - A17 Pro), iPad (7.ª generación - A16), iPad Air (3.ª - 5.ª generación), iPad Air 11 pulgadas (M2 - M3), iPad Air 13 pulgadas (M2 - M3), iPad Pro 11 pulgadas (1.ª generación - M4), iPad Pro 12.9 pulgadas (3.ª - 6.ª generación) y iPad Pro 13 pulgadas (M4)

Impacto: Un atacante con una posición de red privilegiada podía interceptar el tráfico de red.

Descripción: Para solucionar un problema de autenticación, se mejoró la administración de estados.

CVE-2026-28865: Héloïse Gollier y Mathy Vanhoef (KU Leuven)

AppleKeyStore

Impacto: Una app podía provocar el cierre inesperado del sistema

Descripción: Para solucionar un problema de uso después de liberación, se mejoró la administración de la memoria.

CVE-2026-20637: Johnny Franks (zeroxjf), un investigador anónimo

Audio

Impacto: El procesamiento de contenido web creado con fines malintencionados podía provocar el cierre inesperado del proceso.

Descripción: Para solucionar un problema de uso después de liberación, se mejoró la administración de la memoria.

CVE-2026-28879: Justin Cohen de Google

Clipboard

Impacto: Una app podía acceder a datos confidenciales del usuario.

Descripción: Para solucionar este problema, se mejoró la validación de enlaces simbólicos.

CVE-2026-28866: Cristian Dinca (icmd.tech)

CoreMedia

Impacto: El procesamiento de una secuencia de audio en un archivo multimedia creado con fines malintencionados podía dar por terminado el proceso.

Descripción: Se mejoró la comprobación de límites para solucionar un problema de acceso fuera de los límites.

CVE-2026-20690: Hossein Lotfi (@hosselot) del programa Zero Day Initiative de Trend Micro

CoreUtils

Impacto: Un usuario con una posición de red privilegiada podía provocar una denegación de servicio.

Descripción: Se mejoró la validación de entradas para solucionar un problema de falta de referencia de puntero nulo.

CVE-2026-28886: Etienne Charron (Renault) y Victoria Martini (Renault)

Crash Reporter

Impacto: Es posible que una app pueda enumerar las aplicaciones instaladas por el usuario

Descripción: Se solucionó un problema de privacidad eliminando datos confidenciales.

CVE-2026-28878: Zhongcheng Li de IES Red Team

curl

Impacto: Había un problema en curl que podía ocasionar que se enviara accidentalmente información confidencial por medio de una conexión incorrecta.

Descripción: Esta es una vulnerabilidad en código abierto y el software de Apple está entre los proyectos afectados. Un proveedor independiente asignó el ID CVE. Obtén más información sobre el problema y el ID CVE en cve.org.

CVE-2025-14524

DeviceLink

Impacto: Una app podía acceder a datos confidenciales del usuario.

Descripción: Se mejoró la validación de rutas para solucionar un problema de análisis sintáctico en el manejo de rutas de directorios.

CVE-2026-28876: Andreas Jaegersberger y Ro Achterberg de Nosebeard Labs

Focus

Impacto: Una app podía acceder a datos confidenciales del usuario.

Descripción: Para solucionar un problema de inicio de sesión, se mejoró la redacción de datos.

CVE-2026-20668: Kirin (@Pwnrin)

iCloud

Impacto: Es posible que una app pueda enumerar las aplicaciones instaladas por el usuario

Descripción: Se solucionó un problema de permisos mediante restricciones adicionales.

CVE-2026-28880: Zhongcheng Li de IES Red Team

ImageIO

Impacto: El procesamiento de un archivo de creado con fines malintencionados podía provocar el cierre inesperado de la app.

CVE-2025-64505

iTunes Store

Impacto: Es posible que un usuario con acceso físico a un dispositivo iOS pueda saltarse el bloqueo de activación.

Descripción: Se mejoró la validación para solucionar un problema de manejo de rutas.

CVE-2025-43534: iG0x72 y JJ de XiguaSec, Lehan Dilusha Jayasinghe

Kernel

Impacto: Una app podía divulgar la memoria del kernel

Descripción: Para solucionar un problema de inicio de sesión, se mejoró la redacción de datos.

CVE-2026-28868: 이동하 (Lee Dong Ha de BoB 0xB6)

Kernel

Impacto: Una app podía filtrar el estado confidencial del kernel.

Descripción: Para solucionar este problema, se mejoró el proceso de autenticación.

CVE-2026-28867: Jian Lee (@speedyfriend433)

Kernel

Impacto: Es posible que una app pueda provocar el cierre inesperado del sistema o escribir la memoria del kernel.

Descripción: Para solucionar un problema de uso después de liberación, se mejoró la administración de la memoria.

CVE-2026-20687: Johnny Franks (@zeroxjf)

mDNSResponder

Impacto: Una app podía filtrar el estado confidencial del kernel.

Descripción: Para solucionar este problema, se mejoró el proceso de autenticación.

CVE-2026-28867: Jian Lee (@speedyfriend433)

Security

Impacto: Un atacante local podría obtener acceso a los elementos del llavero de un usuario

Descripción: Para solucionar este problema, se mejoró la comprobación de permisos.

CVE-2026-28864: Alex Radocea

UIFoundation

Impacto: Una app podía provocar una denegación de servicio.

Descripción: Se solucionó un problema de desbordamiento de pila mejorando la validación de entradas.

CVE-2026-28852: Caspian Tarafdar

Vision

Impacto: Es posible que el análisis de un archivo creado con fines malintencionados pueda provocar el cierre inesperado de la app

Descripción: Para solucionar este problema, se mejoró el manejo de la memoria.

CVE-2026-20657: Andrew Becker

WebKit

Impacto: El procesamiento de contenido web creado con fines malintencionados podía evitar que se aplicaran las políticas de seguridad del contenido.

Descripción: Para solucionar este problema, se mejoró la administración del estado.

WebKit Bugzilla: 304951

CVE-2026-20665: webb

WebKit

Impacto: El procesamiento de contenido web creado con fines malintencionados podía omitir la política del mismo origen.

Descripción: Se mejoró la validación de entradas para solucionar un problema de origen cruzado en la API de navegación.

WebKit Bugzilla: 306050

CVE-2026-20643: Thomas Espach

WebKit

Impacto: Un atacante remoto podía ver consultas de DNS filtradas al tener la Retransmisión privada activada.

Descripción: Se mejoró la administración de estados para solucionar un problema de lógica.

WebKit Bugzilla: 295943

CVE-2025-43376: Mike Cardwell de grepular.com, Bob Lord

WebKit

Impacto: Un sitio web creado con fines malintencionados podía acceder a controladores de mensajes de script diseñados para otros orígenes.

Descripción: Se mejoró la administración de estados para solucionar un problema de lógica.

WebKit Bugzilla: 307014

CVE-2026-28861: Hongze Wu y Shuaike Dong del equipo de seguridad de infraestructura de ANT Group

WebKit

Impacto: Visitar un sitio web creado con fines malintencionados podía derivar en un ataque de scripts entre sitios.

Descripción: Se mejoraron las comprobaciones para solucionar un problema de lógica.

WebKit Bugzilla: 305859

CVE-2026-28871: @hamayanhamayan

Otros agradecimientos

Safari

Nos gustaría darle las gracias a @RenwaX23 por su ayuda.

La información acerca de los productos no fabricados por Apple o la de los sitios web independientes no controlados ni probados por Apple se ofrece sin ninguna recomendación o aprobación. Apple no asume ninguna responsabilidad respecto a la selección, el rendimiento o el uso de los sitios web o los productos de terceros. Apple no emite ninguna declaración sobre la precisión o la confiabilidad de los sitios web de terceros. Comunícate con el proveedor para obtener más información.

Fecha de publicación: 06 de abril de 2026