Acerca del contenido de seguridad de Safari 26.2

En este documento, se describe el contenido de seguridad de Safari 26.2.

Acerca de las actualizaciones de seguridad de Apple

Con el fin de proteger a nuestros clientes, Apple no revelará, discutirá ni confirmará problemas de seguridad hasta que se haya llevado a cabo una investigación y estén disponibles las correcciones o versiones correspondientes. Los lanzamientos recientes aparecen en la página Versiones de seguridad de Apple.

Para hacer referencia a las vulnerabilidades en los documentos de seguridad de Apple, se usan ID CVE siempre que sea posible.

Para obtener más información sobre los aspectos de seguridad, consulta la página de seguridad de los productos Apple.

Safari 26.2

Safari

Disponible para macOS Sonoma y macOS Sequoia

Impacto: Es posible que en una Mac con el modo hermético habilitado, el contenido web abierto a través de una URL de archivo pueda usar API web que deberían estar restringidas

Descripción: Este problema se solucionó mejorando la validación de URL.

CVE-2025-43526: Andreas Jaegersberger y Ro Achterberg de Nosebeard Labs

Safari Downloads

Disponible para macOS Sonoma y macOS Sequoia

Impacto: Es posible que el origen de una descarga pueda asociarse de forma incorrecta

Descripción: Esta es una vulnerabilidad en código abierto y el software de Apple está entre los proyectos afectados. Un proveedor independiente asignó el ID CVE. Obtén más información sobre el problema y el ID CVE en cve.org.

CVE-2024-8906: @retsew0x01

WebKit

Disponible para macOS Sonoma y macOS Sequoia

Impacto: Una app podía acceder a datos confidenciales del usuario.

Descripción: Se agregaron más comprobaciones de permisos para solucionar el problema.

CVE-2025-46282: Wojciech Regula de SecuRing (wojciechregula.blog)

WebKit

Disponible para macOS Sonoma y macOS Sequoia

Impacto: el procesamiento de contenido web creado con fines malintencionados podía provocar el cierre inesperado de Safari

Descripción: Se mejoró el manejo de estados para solucionar un problema de confusión de tipo.

CVE-2025-43541: Hossein Lotfi (@hosselot) del programa Zero Day Initiative de Trend Micro

WebKit

Disponible para macOS Sonoma y macOS Sequoia

Impacto: Es posible que el procesamiento de contenido web creado con fines malintencionados pueda provocar el cierre inesperado del proceso.

Descripción: Para solucionar un problema de uso después de liberación, se mejoró la administración de la memoria.

CVE-2025-43536: Nan Wang (@eternalsakura13)

WebKit

Disponible para macOS Sonoma y macOS Sequoia

Impacto: Es posible que el procesamiento de contenido web creado con fines malintencionados pueda provocar el cierre inesperado del proceso.

Descripción: Para solucionar este problema, se mejoró el manejo de la memoria.

CVE-2025-43535: Google Big Sleep y Nan Wang (@eternalsakura13)

CVE-2025-46298: Hossein Lotfi (@hosselot), del programa Zero Day Initiative de Trend Micro, y Nan Wang (@eternalsakura13)

WebKit

Disponible para macOS Sonoma y macOS Sequoia

Impacto: Es posible que el procesamiento de contenido web creado con fines malintencionados pueda provocar el cierre inesperado del proceso.

Descripción: Se mejoró el manejo de la memoria para solucionar un problema de desbordamiento de búferes.

CVE-2025-43501: Hossein Lotfi (@hosselot) del programa Zero Day Initiative de Trend Micro

WebKit

Disponible para macOS Sonoma y macOS Sequoia

Impacto: Es posible que el procesamiento de contenido web creado con fines malintencionados pueda provocar el cierre inesperado del proceso.

Descripción: Se mejoró el manejo de estados para solucionar un problema de condición de carrera.

CVE-2025-43531: Phil Pizlo de Epic Games

WebKit

Disponible para macOS Sonoma y macOS Sequoia

Impacto: Es posible que el procesamiento de contenido web creado con fines malintencionados pueda ocasionar la ejecución de código arbitrario. Apple recibió un informe en el cual se indica que este problema surgió a partir de un ataque muy sofisticado a personas específicamente seleccionadas en las de versiones de iOS anteriores a iOS 26. También se emitió CVE-2025-14174 en respuesta a este informe.

Descripción: Para solucionar un problema de uso después de liberación, se mejoró la administración de la memoria.

CVE-2025-43529: Google Threat Analysis Group

WebKit

Disponible para macOS Sonoma y macOS Sequoia

Impacto: Es posible que procesamiento de contenido web creado con fines malintencionados pueda dañar la memoria. Apple recibió un informe en el cual se indica que este problema surgió a partir de un ataque muy sofisticado a personas específicamente seleccionadas en las de versiones de iOS anteriores a iOS 26. También se emitió CVE-2025-43529 en respuesta a este informe.

Descripción: Se mejoró la validación para solucionar un problema de daños en la memoria.

CVE-2025-14174: Apple y Google Threat Analysis Group

WebKit

Disponible para macOS Sonoma y macOS Sequoia

Impacto: Es posible que el procesamiento de contenido web creado con fines malintencionados revele estados internos de la app

Descripción: Se mejoró el manejo de la memoria para solucionar un problema en su inicialización.

CVE-2025-46299: Google Big Sleep

WebKit Web Inspector

Disponible para macOS Sonoma y macOS Sequoia

Impacto: Es posible que el procesamiento de contenido web creado con fines malintencionados pueda provocar el cierre inesperado del proceso.

Descripción: Para solucionar un problema de uso después de liberación, se mejoró la administración de la memoria.

CVE-2025-43511: 이동하 (Lee Dong Ha de BoB 14th)

Otros agradecimientos

Safari

Nos gustaría darle las gracias a Mochammad Nosa Shandy Prastyo por su ayuda.

WebKit

Nos gustaría darles las gracias a Geva Nurgandi Syahputra (gevakun) y Google Big Sleep por su ayuda.