Imagen ilustrativa; no es el equipo afectado. Foto: Sonicdrewdriver / Wikimedia Commons, CC BY-SA 4.0; adaptada para web. Representa ordenador Apple ilustrativo; no representa el dispositivo afectado. Foto original · Licencia.

Qué se ha confirmado

INCIBE-CERT publicó el aviso INCIBE-2026-680 el 30 de septiembre de 2026 y lo clasificó con importancia alta.

La vulnerabilidad CVE-2026-86950 afecta al componente CoreGraphics y consiste en una escritura fuera de límites.

Procesar un archivo especialmente manipulado podría causar corrupción de memoria y permitir ejecución de código arbitrario.

El aviso incluye iOS e iPadOS anteriores a 26.7.1, macOS Sequoia anterior a 15.8.1 y macOS Tahoe anterior a 26.7.1.

Apple confirmó que la vulnerabilidad podría haberse explotado en ataques sofisticados dirigidos a personas concretas con versiones de iOS anteriores a iOS 27.

Apple corrigió el problema mediante mejores comprobaciones de límites.

Análisis de Defensops

El punto de entrada descrito es el procesamiento de un archivo, por lo que el riesgo se concentra en dispositivos que reciban y procesen contenido preparado para activar el fallo. El aviso no describe el formato concreto ni la interacción necesaria; conviene evitar suposiciones sobre una vía de entrega.

La posibilidad de ejecución de código arbitrario eleva la prioridad de la actualización. La frase de Apple sobre ataques dirigidos expresa una posibilidad de explotación previa, no una relación de víctimas confirmadas ni una campaña detallada en este aviso.

La lista abarca móviles, tabletas y dos ramas de macOS. Para gestionar la exposición, importa revisar la versión instalada en cada dispositivo y aplicar la actualización correspondiente a su rama, en vez de asumir que una actualización de otra plataforma cubre el equipo.

INCIBE atribuye el hallazgo a Meta Product Security. Esa atribución identifica el origen del reporte, pero el aviso no aporta indicadores de compromiso ni una secuencia técnica de explotación que permita buscar este caso de forma específica.

Prioridades de revisión

Inventariar los dispositivos iOS, iPadOS y macOS de las ramas citadas y comprobar su versión instalada.

Actualizar iOS e iPadOS a 26.7.1, macOS Sequoia a 15.8.1 y macOS Tahoe a 26.7.1, o a una versión posterior compatible disponible.

Priorizar los dispositivos que reciben archivos de terceros o manejan información sensible mientras se completa el despliegue.

Verificar que la actualización se instaló correctamente en cada equipo y registrar los que no puedan actualizarse para su tratamiento.

Qué no se ha confirmado

El aviso no especifica el formato del archivo manipulado ni las condiciones exactas necesarias para activar el fallo.

La posible explotación dirigida no identifica víctimas, fechas de ataques ni alcance.

No se aportan indicadores de compromiso ni detalles de la cadena de ataque.

Fuente

INCIBE-CERT. Fecha indicada: 2026-09-30.