Acerca del contenido de seguridad de iOS 26.5 y iPadOS 26.5

En este documento, se describe el contenido de seguridad de iOS 26.5 y iPadOS 26.5.

Acerca de las actualizaciones de seguridad de Apple

Con el fin de proteger a nuestros clientes, Apple no revelará, discutirá ni confirmará problemas de seguridad hasta que se haya llevado a cabo una investigación y estén disponibles las correcciones o versiones correspondientes. Las versiones recientes se enumeran en la página Versiones de seguridad de Apple.

Para hacer referencia a las vulnerabilidades en los documentos de seguridad de Apple, se usan ID CVE siempre que sea posible.

Para obtener más información sobre los aspectos de seguridad, consulta la página de seguridad de los productos Apple.

iOS 26.5 y iPadOS 26.5

Accelerate

Disponible para: iPhone 11 y posterior, iPad Pro de 3.ª generación de 12,9 pulgadas y posterior, iPad Pro de 1.ª generación de 11 pulgadas y posterior, iPad Air de 3.ª generación y posterior, iPad de 8.ª generación y posterior y iPad mini de 5.ª generación y posterior

Impacto: Una app podía provocar una denegación de servicio.

Descripción: Para solucionar un problema de lectura fuera de los límites, se mejoró la comprobación de límites.

CVE-2026-28991: Seiji Sakurai (@HeapSmasher)

Accounts

Disponible para: iPhone 11 y posterior, iPad Pro de 3.ª generación de 12,9 pulgadas y posterior, iPad Pro de 1.ª generación de 11 pulgadas y posterior, iPad Air de 3.ª generación y posterior, iPad de 8.ª generación y posterior y iPad mini de 5.ª generación y posterior

Impacto: Es posible que una app pueda omitir ciertas preferencias de privacidad

Descripción: Se solucionó un problema de permisos mediante restricciones adicionales.

CVE-2026-28988: Asaf Cohen

AirDrop

Disponible para: iPhone 11 y posterior, iPad Pro de 3.ª generación de 12,9 pulgadas y posterior, iPad Pro de 1.ª generación de 11 pulgadas y posterior, iPad Air de 3.ª generación y posterior, iPad de 8.ª generación y posterior y iPad mini de 5.ª generación y posterior

Impacto: Un atacante con una posición de red privilegiada podía provocar una denegación de servicio.

Descripción: Se solucionó un problema de aserción de accesibilidad mejorando la validación de entradas.

CVE-2026-43667: Arash Ale Ebrahim del grupo de investigación SCy-Phy del Centro Helmholtz para la Seguridad de la Información (CISPA)

APFS

Disponible para: iPhone 11 y posterior, iPad Pro de 3.ª generación de 12,9 pulgadas y posterior, iPad Pro de 1.ª generación de 11 pulgadas y posterior, iPad Air de 3.ª generación y posterior, iPad de 8.ª generación y posterior y iPad mini de 5.ª generación y posterior

Impacto: Una app podía provocar el cierre inesperado del sistema

Descripción: Se mejoró la comprobación de límites para solucionar un problema de desbordamiento de búferes.

CVE-2026-28959: Dave G.

App Intents

Disponible para: iPhone 11 y posterior, iPad Pro de 3.ª generación de 12,9 pulgadas y posterior, iPad Pro de 1.ª generación de 11 pulgadas y posterior, iPad Air de 3.ª generación y posterior, iPad de 8.ª generación y posterior y iPad mini de 5.ª generación y posterior

Impacto: Una app creada con fines malintencionados podía salir de su zona protegida.

Descripción: Se mejoraron las restricciones para solucionar un problema de lógica.

CVE-2026-28995: Vamshi Paili, Tony Gorez (@tonygo_) para Reverse Society

AppleJPEG

Disponible para: iPhone 11 y posterior, iPad Pro de 3.ª generación de 12,9 pulgadas y posterior, iPad Pro de 1.ª generación de 11 pulgadas y posterior, iPad Air de 3.ª generación y posterior, iPad de 8.ª generación y posterior y iPad mini de 5.ª generación y posterior

Impacto: Es posible que el procesamiento de una imagen creada con fines malintencionados pueda ocasionar una denegación de servicio

Descripción: Esta es una vulnerabilidad en código abierto y el software de Apple está entre los proyectos afectados. Un proveedor independiente asignó el ID CVE. Obtén más información sobre el problema y el ID CVE en cve.org.

CVE-2026-1837

AppleJPEG

Disponible para: iPhone 11 y posterior, iPad Pro de 3.ª generación de 12,9 pulgadas y posterior, iPad Pro de 1.ª generación de 11 pulgadas y posterior, iPad Air de 3.ª generación y posterior, iPad de 8.ª generación y posterior y iPad mini de 5.ª generación y posterior

Impacto: El procesamiento de un archivo de medios creado con fines malintencionados podía provocar el cierre inesperado de la app o daños en la memoria de proceso

Descripción: Se mejoró la validación de entradas para solucionar un problema de daños en la memoria.

CVE-2026-28956: impost0r (ret2plt), Nicholas Soh

Audio

Disponible para: iPhone 11 y posterior, iPad Pro de 3.ª generación de 12,9 pulgadas y posterior, iPad Pro de 1.ª generación de 11 pulgadas y posterior, iPad Air de 3.ª generación y posterior, iPad de 8.ª generación y posterior y iPad mini de 5.ª generación y posterior

Impacto: El procesamiento de una secuencia de audio en un archivo multimedia creado con fines malintencionados podía dar por terminado el proceso.

Descripción: Para solucionar este problema, se mejoró el manejo de la memoria.

CVE-2026-39869: David Ige de Beryllium Security

CoreAnimation

Disponible para: iPhone 11 y posterior, iPad Pro de 3.ª generación de 12,9 pulgadas y posterior, iPad Pro de 1.ª generación de 11 pulgadas y posterior, iPad Air de 3.ª generación y posterior, iPad de 8.ª generación y posterior y iPad mini de 5.ª generación y posterior

Impacto: Una app podía acceder a datos confidenciales del usuario.

Descripción: Se solucionó un problema de interfaz de usuario incoherente mejorando la administración de estado.

CVE-2026-28964: Alan Wang, Ailsa Sun, Christopher W. Fletcher, Hovav Shacham, David Kohlbrenner, Riccardo Paccagnella

CoreServices

Disponible para: iPhone 11 y posterior, iPad Pro de 3.ª generación de 12,9 pulgadas y posterior, iPad Pro de 1.ª generación de 11 pulgadas y posterior, iPad Air de 3.ª generación y posterior, iPad de 8.ª generación y posterior y iPad mini de 5.ª generación y posterior

Impacto: El procesamiento de un archivo de creado con fines malintencionados podía provocar el cierre inesperado de la app.

Descripción: Para solucionar este problema, se mejoró la comprobación.

CVE-2026-28936: Andreas Jaegersberger y Ro Achterberg de Nosebeard Labs

CoreSymbolication

Disponible para: iPhone 11 y posterior, iPad Pro de 3.ª generación de 12,9 pulgadas y posterior, iPad Pro de 1.ª generación de 11 pulgadas y posterior, iPad Air de 3.ª generación y posterior, iPad de 8.ª generación y posterior y iPad mini de 5.ª generación y posterior

Impacto: Es posible que el análisis de un archivo creado con fines malintencionados pueda provocar el cierre inesperado de la app

Descripción: Se mejoró la comprobación de límites para solucionar un problema de acceso fuera de los límites.

CVE-2026-28918: Niels Hofmans, anónimo en colaboración con el programa Zero Day Initiative de TrendAI

FileProvider

Disponible para: iPhone 11 y posterior, iPad Pro de 3.ª generación de 12,9 pulgadas y posterior, iPad Pro de 1.ª generación de 11 pulgadas y posterior, iPad Air de 3.ª generación y posterior, iPad de 8.ª generación y posterior y iPad mini de 5.ª generación y posterior

Impacto: Una app podía acceder a datos confidenciales del usuario.

Descripción: Se solucionó un problema de condición de carrera mediante validaciones adicionales.

CVE-2026-43659: Alex Radocea

ImageIO

Disponible para: iPhone 11 y posterior, iPad Pro de 3.ª generación de 12,9 pulgadas y posterior, iPad Pro de 1.ª generación de 11 pulgadas y posterior, iPad Air de 3.ª generación y posterior, iPad de 8.ª generación y posterior y iPad mini de 5.ª generación y posterior

Impacto: El procesamiento de una imagen creada con fines malintencionados podía generar daños en la memoria de un proceso.

Descripción: Se mejoró el manejo de la memoria para solucionar un problema de desbordamiento de búferes.

CVE-2026-43661: Gandalf4a de PKU-ICODE, Anton Pakhunov y un investigador anónimo

ImageIO

Disponible para: iPhone 11 y posterior, iPad Pro de 3.ª generación de 12,9 pulgadas y posterior, iPad Pro de 1.ª generación de 11 pulgadas y posterior, iPad Air de 3.ª generación y posterior, iPad de 8.ª generación y posterior y iPad mini de 5.ª generación y posterior

Impacto: El procesamiento de un archivo de creado con fines malintencionados podía provocar el cierre inesperado de la app.

Descripción: Para solucionar este problema, se mejoró la comprobación de los límites.

CVE-2026-28977: Suresh Sundaram

ImageIO

Disponible para: iPhone 11 y posterior, iPad Pro de 3.ª generación de 12,9 pulgadas y posterior, iPad Pro de 1.ª generación de 11 pulgadas y posterior, iPad Air de 3.ª generación y posterior, iPad de 8.ª generación y posterior y iPad mini de 5.ª generación y posterior

Impacto: El procesamiento de una imagen creada con fines malintencionados podía generar daños en la memoria de un proceso.

Descripción: Para solucionar este problema, se mejoró el manejo de la memoria.

CVE-2026-28990: Jiri Ha, Arni Hardarson

IOHIDFamily

Disponible para: iPhone 11 y posterior, iPad Pro de 3.ª generación de 12,9 pulgadas y posterior, iPad Pro de 1.ª generación de 11 pulgadas y posterior, iPad Air de 3.ª generación y posterior, iPad de 8.ª generación y posterior y iPad mini de 5.ª generación y posterior

Impacto: Es posible que un atacante pueda provocar el cierre inesperado de la app

Descripción: Se solucionó un problema de vulnerabilidad de daños en la memoria mejorando el bloqueo.

CVE-2026-28992: Johnny Franks (@0xjohnny)

IOHIDFamily

Disponible para: iPhone 11 y posterior, iPad Pro de 3.ª generación de 12,9 pulgadas y posterior, iPad Pro de 1.ª generación de 11 pulgadas y posterior, iPad Air de 3.ª generación y posterior, iPad de 8.ª generación y posterior y iPad mini de 5.ª generación y posterior

Impacto: Es posible que una app pueda determinar la distribución de la memoria del kernel

Descripción: Para solucionar un problema de inicio de sesión, se mejoró la redacción de datos.

CVE-2026-28943: Google Threat Analysis Group

IOKit

Disponible para: iPhone 11 y posterior, iPad Pro de 3.ª generación de 12,9 pulgadas y posterior, iPad Pro de 1.ª generación de 11 pulgadas y posterior, iPad Air de 3.ª generación y posterior, iPad de 8.ª generación y posterior y iPad mini de 5.ª generación y posterior

Impacto: Una app podía provocar el cierre inesperado del sistema

Descripción: Para solucionar un problema de uso después de liberación, se mejoró la administración de la memoria.

CVE-2026-28969: Mihalis Haatainen, Ari Hawking, Ashish Kunwar

IOSkywalkFamily

Disponible para: iPhone 11 y posterior, iPad Pro de 3.ª generación de 12,9 pulgadas y posterior, iPad Pro de 1.ª generación de 11 pulgadas y posterior, iPad Air de 3.ª generación y posterior, iPad de 8.ª generación y posterior y iPad mini de 5.ª generación y posterior

Impacto: Una app podía divulgar la memoria del kernel

Descripción: Se mejoró el manejo de la memoria para solucionar un problema que hacía que se dañara.

CVE-2026-39877: Richard Zana, Dhiyanesh Selvaraj (@redroot97)

IOSurfaceAccelerator

Disponible para: iPhone 11 y posterior, iPad Pro de 3.ª generación de 12,9 pulgadas y posterior, iPad Pro de 1.ª generación de 11 pulgadas y posterior, iPad Air de 3.ª generación y posterior, iPad de 8.ª generación y posterior y iPad mini de 5.ª generación y posterior

Impacto: Una app podía provocar el cierre inesperado del sistema o leer la memoria del kernel.

Descripción: Para solucionar un problema de lectura fuera de los límites, se mejoró la comprobación de límites.

CVE-2026-43655: Somair Ansar y un investigador anónimo

Kernel

Disponible para: iPhone 11 y posterior, iPad Pro de 3.ª generación de 12,9 pulgadas y posterior, iPad Pro de 1.ª generación de 11 pulgadas y posterior, iPad Air de 3.ª generación y posterior, iPad de 8.ª generación y posterior y iPad mini de 5.ª generación y posterior

Impacto: Una app podía divulgar la memoria del kernel

Descripción: Para solucionar este problema, se mejoró el manejo de la memoria.

CVE-2026-43654: Vaagn Vardanian, Nathaniel Oh (@calysteon)

Kernel

Disponible para: iPhone 11 y posterior, iPad Pro de 3.ª generación de 12,9 pulgadas y posterior, iPad Pro de 1.ª generación de 11 pulgadas y posterior, iPad Air de 3.ª generación y posterior, iPad de 8.ª generación y posterior y iPad mini de 5.ª generación y posterior

Impacto: Un usuario local puede provocar el cierre inesperado del sistema o leer la memoria del kernel.

Descripción: Se mejoró la validación de entradas para solucionar un problema de desbordamiento de búferes.

CVE-2026-28897: popku1337, Billy Jheng Bing Jhong y Pan Zhenpeng (@Peterpan0927) de STAR Labs SG Pte. Ltd., Robert Tran, Aswin kumar Gokulakannan

Kernel

Disponible para: iPhone 11 y posterior, iPad Pro de 3.ª generación de 12,9 pulgadas y posterior, iPad Pro de 1.ª generación de 11 pulgadas y posterior, iPad Air de 3.ª generación y posterior, iPad de 8.ª generación y posterior y iPad mini de 5.ª generación y posterior

Impacto: Una app podía obtener privilegios de usuario raíz.

Descripción: Se mejoró la administración de estados para solucionar un problema de autorización.

CVE-2026-28951: Csaba Fitzl (@theevilbit) de Iru

Kernel

Disponible para: iPhone 11 y posterior, iPad Pro de 3.ª generación de 12,9 pulgadas y posterior, iPad Pro de 1.ª generación de 11 pulgadas y posterior, iPad Air de 3.ª generación y posterior, iPad de 8.ª generación y posterior y iPad mini de 5.ª generación y posterior

Impacto: Es posible que una app pueda provocar el cierre inesperado del sistema o escribir la memoria del kernel.

Descripción: Se mejoró la validación de entradas para solucionar un problema de escritura fuera de los límites.

CVE-2026-28972: Billy Jheng Bing Jhong y Pan Zhenpeng (@Peterpan0927) de STAR Labs SG Pte. Ltd., Ryan Hileman por Xint Code (xint.io)

Kernel

Disponible para: iPhone 11 y posterior, iPad Pro de 3.ª generación de 12,9 pulgadas y posterior, iPad Pro de 1.ª generación de 11 pulgadas y posterior, iPad Air de 3.ª generación y posterior, iPad de 8.ª generación y posterior y iPad mini de 5.ª generación y posterior

Impacto: Una app podía provocar el cierre inesperado del sistema

Descripción: Se solucionó un problema de condición de carrera mediante validaciones adicionales.

CVE-2026-28986: Chris Betz, Tristan Madani (@TristanInSec) de Talence Security, Ryan Hileman por Xint Code (xint.io)

Kernel

Disponible para: iPhone 11 y posterior, iPad Pro de 3.ª generación de 12,9 pulgadas y posterior, iPad Pro de 1.ª generación de 11 pulgadas y posterior, iPad Air de 3.ª generación y posterior, iPad de 8.ª generación y posterior y iPad mini de 5.ª generación y posterior

Impacto: Una app podía filtrar el estado confidencial del kernel.

Descripción: Para solucionar un problema de inicio de sesión, se mejoró la redacción de datos.

CVE-2026-28987: Dhiyanesh Selvaraj (@redroot97)

LaunchServices

Disponible para: iPhone 11 y posterior, iPad Pro de 3.ª generación de 12,9 pulgadas y posterior, iPad Pro de 1.ª generación de 11 pulgadas y posterior, iPad Air de 3.ª generación y posterior, iPad de 8.ª generación y posterior y iPad mini de 5.ª generación y posterior

Impacto: Es posible que un atacante remoto pueda ocasionar una denegación de servicio

Descripción: Para solucionar un problema de tipo confusión, se mejoraron las comprobaciones.

CVE-2026-28983: Ruslan Dautov

LaunchServices

Disponible para: iPhone 11 y posterior, iPad Pro de 3.ª generación de 12,9 pulgadas y posterior, iPad Pro de 1.ª generación de 11 pulgadas y posterior, iPad Air de 3.ª generación y posterior, iPad de 8.ª generación y posterior y iPad mini de 5.ª generación y posterior

Impacto: Es posible que una app creada con fines malintencionados pueda enumerar las apps instaladas.

Descripción: Se solucionó un problema de permisos mediante restricciones adicionales.

CVE-2026-43657: Zhongcheng Li (CK01)

mDNSResponder

Disponible para: iPhone 11 y posterior, iPad Pro de 3.ª generación de 12,9 pulgadas y posterior, iPad Pro de 1.ª generación de 11 pulgadas y posterior, iPad Air de 3.ª generación y posterior, iPad de 8.ª generación y posterior y iPad mini de 5.ª generación y posterior

Impacto: un atacante en la red local puede provocar una denegación de servicio

Descripción: Para solucionar este problema, se mejoró el manejo de la memoria.

CVE-2026-43653: Atul R V

mDNSResponder

Disponible para: iPhone 11 y posterior, iPad Pro de 3.ª generación de 12,9 pulgadas y posterior, iPad Pro de 1.ª generación de 11 pulgadas y posterior, iPad Air de 3.ª generación y posterior, iPad de 8.ª generación y posterior y iPad mini de 5.ª generación y posterior

Impacto: un atacante en la red local puede provocar una denegación de servicio

Descripción: Se mejoró la validación de entradas para solucionar un problema de falta de referencia de puntero nulo.

CVE-2026-28985: Omar Cerrito

mDNSResponder

Disponible para: iPhone 11 y posterior, iPad Pro de 3.ª generación de 12,9 pulgadas y posterior, iPad Pro de 1.ª generación de 11 pulgadas y posterior, iPad Air de 3.ª generación y posterior, iPad de 8.ª generación y posterior y iPad mini de 5.ª generación y posterior

Impacto: Un atacante remoto podía provocar el cierre inesperado del sistema o daños en la memoria del kernel.

Descripción: Para solucionar un problema de uso después de liberación, se mejoró la administración de la memoria.

CVE-2026-43668: Anton Pakhunov, Ricardo Prado

mDNSResponder

Disponible para: iPhone 11 y posterior, iPad Pro de 3.ª generación de 12,9 pulgadas y posterior, iPad Pro de 1.ª generación de 11 pulgadas y posterior, iPad Air de 3.ª generación y posterior, iPad de 8.ª generación y posterior y iPad mini de 5.ª generación y posterior

Impacto: un atacante en la red local puede provocar una denegación de servicio

Descripción: Para solucionar un problema de escritura fuera de los límites, se mejoró la comprobación de límites.

CVE-2026-43666: Ian van der Wurff (ian.nl)

Model I/O

Disponible para: iPhone 11 y posterior, iPad Pro de 3.ª generación de 12,9 pulgadas y posterior, iPad Pro de 1.ª generación de 11 pulgadas y posterior, iPad Air de 3.ª generación y posterior, iPad de 8.ª generación y posterior y iPad mini de 5.ª generación y posterior

Impacto: El procesamiento de una imagen creada con fines malintencionados podía generar daños en la memoria de un proceso.

Descripción: Para solucionar este problema, se mejoró el manejo de la memoria.

CVE-2026-28940: Michael DePlante (@izobashi) del programa Zero Day Initiative de TrendAI

Multi-Touch

Disponible para: iPhone 11 y posterior, iPad Pro de 3.ª generación de 12,9 pulgadas y posterior, iPad Pro de 1.ª generación de 11 pulgadas y posterior, iPad Air de 3.ª generación y posterior, iPad de 8.ª generación y posterior y iPad mini de 5.ª generación y posterior

Impacto: Una app podía provocar el cierre inesperado del sistema

Descripción: Se mejoró la validación de entradas para solucionar un problema de falta de referencia de puntero nulo.

CVE-2026-65367: Asaf Cohen

Networking

Disponible para: iPhone 11 y posterior, iPad Pro de 3.ª generación de 12,9 pulgadas y posterior, iPad Pro de 1.ª generación de 11 pulgadas y posterior, iPad Air de 3.ª generación y posterior, iPad de 8.ª generación y posterior y iPad mini de 5.ª generación y posterior

Impacto: Un atacante podía rastrear a los usuarios a través de sus direcciones IP.

Descripción: Para solucionar este problema, se mejoró la administración del estado.

CVE-2026-28906: Ilya Sc. Jowell A.

Quick Look

Disponible para: iPhone 11 y posterior, iPad Pro de 3.ª generación de 12,9 pulgadas y posterior, iPad Pro de 1.ª generación de 11 pulgadas y posterior, iPad Air de 3.ª generación y posterior, iPad de 8.ª generación y posterior y iPad mini de 5.ª generación y posterior

Impacto: Es posible que el análisis de un archivo creado con fines malintencionados pueda provocar el cierre inesperado de la app

Descripción: Se mejoró la validación de entradas para solucionar un problema de escritura fuera de los límites.

CVE-2026-43656: Peter Malone

SceneKit

Disponible para: iPhone 11 y posterior, iPad Pro de 3.ª generación de 12,9 pulgadas y posterior, iPad Pro de 1.ª generación de 11 pulgadas y posterior, iPad Air de 3.ª generación y posterior, iPad de 8.ª generación y posterior y iPad mini de 5.ª generación y posterior

Impacto: Un atacante remoto podía provocar el cierre inesperado de la app.

Descripción: Se mejoró la comprobación de límites para solucionar un problema de desbordamiento de búferes.

CVE-2026-28846: Peter Malone

Screenshots

Disponible para iPhone 15 y modelos posteriores

Impacto: Un atacante con acceso físico podía utilizar Inteligencia visual para acceder a datos confidenciales durante la duplicación del iPhone.

Descripción: Un problema de privacidad se solucionó mediante la eliminación del código vulnerable.

CVE-2026-28963: Jorge Welch

Shortcuts

Disponible para: iPhone 11 y posterior, iPad Pro de 3.ª generación de 12,9 pulgadas y posterior, iPad Pro de 1.ª generación de 11 pulgadas y posterior, iPad Air de 3.ª generación y posterior, iPad de 8.ª generación y posterior y iPad mini de 5.ª generación y posterior

Impacto: Es posible que una app pueda acceder a información confidencial del usuario

Descripción: Para solucionar este problema, se agregó una solicitud de consentimiento del usuario adicional.

CVE-2026-28993: Doron Assness

Spotlight

Disponible para: iPhone 11 y posterior, iPad Pro de 3.ª generación de 12,9 pulgadas y posterior, iPad Pro de 1.ª generación de 11 pulgadas y posterior, iPad Air de 3.ª generación y posterior, iPad de 8.ª generación y posterior y iPad mini de 5.ª generación y posterior

Impacto: Una app podía provocar una denegación de servicio.

Descripción: A fin de solucionar este problema, se mejoraron las comprobaciones para impedir las acciones no autorizadas.

CVE-2026-28974: Andy Koo (@andykoo) de Hexens

Status Bar

Disponible para: iPhone 11 y posterior, iPad Pro de 3.ª generación de 12,9 pulgadas y posterior, iPad Pro de 1.ª generación de 11 pulgadas y posterior, iPad Air de 3.ª generación y posterior, iPad de 8.ª generación y posterior y iPad mini de 5.ª generación y posterior

Impacto: Es posible que una app pueda realizar una captura de la pantalla del usuario

Descripción: Se mejoró la lógica para solucionar un problema con el acceso de la app a los metadatos de la cámara.

CVE-2026-28957: Adriatik Raci

Storage

Disponible para: iPhone 11 y posterior, iPad Pro de 3.ª generación de 12,9 pulgadas y posterior, iPad Pro de 1.ª generación de 11 pulgadas y posterior, iPad Air de 3.ª generación y posterior, iPad de 8.ª generación y posterior y iPad mini de 5.ª generación y posterior

Impacto: Una app podía acceder a datos confidenciales del usuario.

Descripción: Se solucionó un problema de condición de carrera mediante validaciones adicionales.

CVE-2026-28996: Alex Radocea

WebKit

Disponible para: iPhone 11 y posterior, iPad Pro de 3.ª generación de 12,9 pulgadas y posterior, iPad Pro de 1.ª generación de 11 pulgadas y posterior, iPad Air de 3.ª generación y posterior, iPad de 8.ª generación y posterior y iPad mini de 5.ª generación y posterior

Impacto: El procesamiento de contenido web creado con fines malintencionados podía evitar que se aplicaran las políticas de seguridad del contenido.

Descripción: Se solucionó un problema de validación mejorando la lógica.

CVE-2026-43660: Cantina

WebKit

Disponible para: iPhone 11 y posterior, iPad Pro de 3.ª generación de 12,9 pulgadas y posterior, iPad Pro de 1.ª generación de 11 pulgadas y posterior, iPad Air de 3.ª generación y posterior, iPad de 8.ª generación y posterior y iPad mini de 5.ª generación y posterior

Impacto: El procesamiento de contenido web creado con fines malintencionados podía evitar que se aplicaran las políticas de seguridad del contenido.

Descripción: Se mejoró la validación de entradas para solucionar el problema.

CVE-2026-28907: Cantina

WebKit

Disponible para: iPhone 11 y posterior, iPad Pro de 3.ª generación de 12,9 pulgadas y posterior, iPad Pro de 1.ª generación de 11 pulgadas y posterior, iPad Air de 3.ª generación y posterior, iPad de 8.ª generación y posterior y iPad mini de 5.ª generación y posterior

Impacto: El procesamiento de contenido web creado con fines malintencionados podía divulgar información confidencial del usuario.

Descripción: Para solucionar este problema, se mejoraron las restricciones de acceso.

CVE-2026-28962: Luke Francis, Vaagn Vardanian, kwak kiyong / kakaogames, Vitaly Simonovich, Adel Bouachraoui, greenbynox

WebKit

Disponible para: iPhone 11 y posterior, iPad Pro de 3.ª generación de 12,9 pulgadas y posterior, iPad Pro de 1.ª generación de 11 pulgadas y posterior, iPad Air de 3.ª generación y posterior, iPad de 8.ª generación y posterior y iPad mini de 5.ª generación y posterior

Impacto: el procesamiento de contenido web creado con fines malintencionados podía provocar el cierre inesperado de Safari

Descripción: Para solucionar este problema, se mejoró el manejo de la memoria.

CVE-2026-43658: Do Young Park

CVE-2026-28984: Artem Dinaburg de Trail of Bits a través de Anthropic CVD

WebKit

Disponible para: iPhone 11 y posterior, iPad Pro de 3.ª generación de 12,9 pulgadas y posterior, iPad Pro de 1.ª generación de 11 pulgadas y posterior, iPad Air de 3.ª generación y posterior, iPad de 8.ª generación y posterior y iPad mini de 5.ª generación y posterior

Impacto: El procesamiento de contenido web creado con fines malintencionados podía provocar el cierre inesperado del proceso

Descripción: Para solucionar este problema, se mejoró el manejo de la memoria.

CVE-2026-28905: Yuhao Hu, Yuanming Lai, Chenggang Wu y Zhe Wang

CVE-2026-28847: Idan Masas, DARKNAVY (@DarkNavyOrg) e investigador anónimo en colaboración con el programa Zero Day Initiative de TrendAI, y Daniel Rhea

CVE-2026-28904: Luka Rački

CVE-2026-28955: wac y Kookhwan Lee en colaboración con la Zero Day Initiative de TrendAI

CVE-2026-28903: Mateusz Krzywicki (iVerify.io)

CVE-2026-28953: Maher Azzouzi

CVE-2026-28902: Tristan Madani (@TristanInSec) de Talence Security, y Nathaniel Oh (@calysteon)

CVE-2026-28901: equipo de investigación de seguridad ofensiva de Aisle (Joshua Rogers, Luigino Camastra, Igor Morgenstern y Guido Vranken), Maher Azzouzi, Ngan Nguyen de Calif.io

CVE-2026-28913: Un investigador anónimo

WebKit

Disponible para: iPhone 11 y posterior, iPad Pro de 3.ª generación de 12,9 pulgadas y posterior, iPad Pro de 1.ª generación de 11 pulgadas y posterior, iPad Air de 3.ª generación y posterior, iPad de 8.ª generación y posterior y iPad mini de 5.ª generación y posterior

Impacto: El procesamiento de contenido web creado con fines malintencionados podía provocar el cierre inesperado del proceso.

Descripción: Para solucionar un problema de uso después de liberación, se mejoró la administración de la memoria.

CVE-2026-28883: kwak kiyong / kakaogames

WebKit

Disponible para: iPhone 11 y posterior, iPad Pro de 3.ª generación de 12,9 pulgadas y posterior, iPad Pro de 1.ª generación de 11 pulgadas y posterior, iPad Air de 3.ª generación y posterior, iPad de 8.ª generación y posterior y iPad mini de 5.ª generación y posterior

Impacto: Una app podía acceder a datos confidenciales del usuario.

Descripción: Para solucionar este problema, se mejoró la protección de datos.

CVE-2026-28958: Cantina

WebKit

Disponible para: iPhone 11 y posterior, iPad Pro de 3.ª generación de 12,9 pulgadas y posterior, iPad Pro de 1.ª generación de 11 pulgadas y posterior, iPad Air de 3.ª generación y posterior, iPad de 8.ª generación y posterior y iPad mini de 5.ª generación y posterior

Impacto: El procesamiento de contenido web creado con fines malintencionados podía provocar el cierre inesperado del proceso

Descripción: Se mejoró la validación de entradas para solucionar el problema.

CVE-2026-28917: Vitaly Simonovich

WebKit

Disponible para: iPhone 11 y posterior, iPad Pro de 3.ª generación de 12,9 pulgadas y posterior, iPad Pro de 1.ª generación de 11 pulgadas y posterior, iPad Air de 3.ª generación y posterior, iPad de 8.ª generación y posterior y iPad mini de 5.ª generación y posterior

Impacto: el procesamiento de contenido web creado con fines malintencionados podía provocar el cierre inesperado de Safari

Descripción: Para solucionar un problema de uso después de liberación, se mejoró la administración de la memoria.

CVE-2026-28947: dr3dd

CVE-2026-28942: Milad Nasr y Nicholas Carlini con Claude, Anthropic

WebKit

Disponible para: iPhone 11 y posterior, iPad Pro de 3.ª generación de 12,9 pulgadas y posterior, iPad Pro de 1.ª generación de 11 pulgadas y posterior, iPad Air de 3.ª generación y posterior, iPad de 8.ª generación y posterior y iPad mini de 5.ª generación y posterior

Impacto: Un iframe malicioso podría utilizar la configuración de descargas de otro sitio web.

Descripción: Para solucionar este problema, se mejoró el manejo de IU.

CVE-2026-28971: Khiem Tran

WebKit

Disponible para: iPhone 11 y posterior, iPad Pro de 3.ª generación de 12,9 pulgadas y posterior, iPad Pro de 1.ª generación de 11 pulgadas y posterior, iPad Air de 3.ª generación y posterior, iPad de 8.ª generación y posterior y iPad mini de 5.ª generación y posterior

Impacto: Es posible que el procesamiento de contenido web creado con fines malintencionados pueda omitir la política de seguridad de contenido.

Descripción: Se mejoró la aplicación en contextos de AudioWorklet para solucionar un problema de omisión de la política de seguridad de contenido.

CVE-2026-43670: lebr0nli de National Yang Ming Chiao Tung University, Security and Systems Lab

WebRTC

Disponible para: iPhone 11 y posterior, iPad Pro de 3.ª generación de 12,9 pulgadas y posterior, iPad Pro de 1.ª generación de 11 pulgadas y posterior, iPad Air de 3.ª generación y posterior, iPad de 8.ª generación y posterior y iPad mini de 5.ª generación y posterior

Impacto: El procesamiento de contenido web creado con fines malintencionados podía provocar el cierre inesperado del proceso

Descripción: Para solucionar este problema, se mejoró el manejo de la memoria.

CVE-2026-28944: Kenneth Hsu de Palo Alto Networks, Jérôme DJOUDER, dr3dd

Wi-Fi

Disponible para: iPhone 11 y posterior, iPad Pro de 3.ª generación de 12,9 pulgadas y posterior, iPad Pro de 1.ª generación de 11 pulgadas y posterior, iPad Air de 3.ª generación y posterior, iPad de 8.ª generación y posterior y iPad mini de 5.ª generación y posterior

Impacto: Un atacante en una posición de red privilegiada podía realizar un ataque de denegación de servicio mediante paquetes de Wi-Fi creados.

Descripción: Para solucionar un problema de uso después de liberación, se mejoró la administración de la memoria.

CVE-2026-28994: Alex Radocea

WidgetKit

Disponible para: iPhone 11 y posterior, iPad Pro de 3.ª generación de 12,9 pulgadas y posterior, iPad Pro de 1.ª generación de 11 pulgadas y posterior, iPad Air de 3.ª generación y posterior, iPad de 8.ª generación y posterior y iPad mini de 5.ª generación y posterior

Impacto: Es posible que un usuario pueda ver contenido restringido desde la pantalla de bloqueo

Descripción: Se mejoraron las comprobaciones para solucionar un problema de privacidad.

CVE-2026-28965: Abhay Kailasia (@abhay_kailasia) de Safran Mumbai India

zlib

Disponible para: iPhone 11 y posterior, iPad Pro de 3.ª generación de 12,9 pulgadas y posterior, iPad Pro de 1.ª generación de 11 pulgadas y posterior, iPad Air de 3.ª generación y posterior, iPad de 8.ª generación y posterior y iPad mini de 5.ª generación y posterior

Impacto: La visita a un sitio web creado con fines malintencionados podía filtrar información confidencial.

Descripción: Se abordó una filtración de información con validación adicional.

CVE-2026-28920: Brendon Tiszka de Proyecto Cero de Google

Otros agradecimientos

App Intents

Nos gustaría darle las gracias a Mikael Kinnman por su ayuda.

Apple Account

Nos gustaría darles las gracias a Iván Savransky y YingQi Shi (@Mas0nShi) de DBAppSecurity's WeBin lab por su ayuda.

Audio

Nos gustaría darle las gracias a Brian Carpenter por su ayuda.

AuthKit

Nos gustaría darle las gracias a Gongyu Ma (@Mezone0) por su ayuda.

CoreBluetooth - LE

Nos gustaría darle las gracias a Luke Noble por su ayuda.

CoreUI

Nos gustaría darle las gracias a Mustafa Calap por su ayuda.

ICU

Nos gustaría darle las gracias a un investigador anónimo por su ayuda.

Kernel

Nos gustaría darles las gracias a Ryan Hileman por Xint Code (xint.io), Suresh Sundaram y un investigador anónimo por su ayuda.

libnetcore

Nos gustaría darles las gracias a Chris Staite y David Hardy de Menlo Security Inc por su ayuda.

Libnotify

Nos gustaría darle las gracias a Ilias Morad (@A2nkF_) por su ayuda.

Location

Nos gustaría darle las gracias a Kun Peeks (@SwayZGl1tZyyy) por su ayuda.

Mail

Nos gustaría darle las gracias a Himanshu Bharti (@Xpl0itme) de Khatima por su ayuda.

mDNSResponder

Nos gustaría darle las gracias a Jason Grove por su ayuda.

Messages

Nos gustaría darles las gracias Bishal Kafle y Jeffery Kimbrow por su ayuda.

Notes

Nos gustaría darles las gracias a Asilbek Salimov y Mohamed Althaf por su ayuda.

Photos

Nos gustaría darles las gracias a Abhay Kailasia (@abhay_kailasia) de Safran Mumbai India y a Christopher Mathews por su ayuda.

Safari

Nos gustaría darle las gracias a Barath Stalin K (linkedin.com/in/barathstalin) por su ayuda.

Safari Private Browsing

Nos gustaría darle las gracias a Dalibor Milanovic por su ayuda.

Shortcuts

Nos gustaría darle las gracias a Jacob Prezant (prezant.us) por su ayuda.

Siri

Nos gustaría darle las gracias a Yoav Magid por su ayuda.

UIKit

Nos gustaría darle las gracias a Shaheen Fazim por su ayuda.

WebKit

Nos gustaría darles las gracias a Jaya Surya Kommireddy, Kwak Kiyong , Song Nuri, Mihalis Haatainen, Milad Nasr y Nicholas Carlini con Claude, Anthropic, Muhammad Zaid Ghifari (Mr.ZheeV), Kalimantan Utara, Qadhafy Muhammad Tera, RedRays Security Team, Thomas Myrden y Paul Tiarks de Salesforce, Vitaly Simonovich, Yair Hoffman y un investigador anónimo por su ayuda.

WebRTC

Nos gustaría darle las gracias a Hyeonji Son (@jir4vv1t) de Demon Team por su ayuda.

Wi-Fi

Nos gustaría darle las gracias a Yusuf Kelany por su ayuda.