Apple lanzó el 12 de diciembre de 2025 las actualizaciones iOS 26.2 y iPadOS 26.2 con una larga lista de correcciones de seguridad que vuelven a subrayar una realidad incómoda para el usuario moderno: el móvil es, cada vez más, una pieza crítica de identidad, pagos y vida digital, y por tanto un objetivo constante.
Según la información publicada por la compañía en su nota de contenido de seguridad, la actualización está disponible para iPhone 11 y posteriores y para una amplia gama de iPad recientes, incluidos iPad Pro de 12,9″ (3.ª generación y posteriores), iPad Pro de 11″ (1.ª generación y posteriores), iPad Air (3.ª generación y posteriores), iPad (8.ª generación y posteriores) y iPad mini (5.ª generación y posteriores). El listado no es un detalle menor: marca de forma clara qué dispositivos siguen dentro del ciclo de soporte y, por tanto, tienen acceso a correcciones que afectan a privacidad, integridad del sistema y navegación web.
De los tokens de pago a la privacidad: el riesgo ya no es “solo” que se cuelgue una app
Entre las vulnerabilidades corregidas, una de las más sensibles afecta al ecosistema de pagos: Apple reconoce que una app podría llegar a acceder a tokens de pago sensibles, un escenario especialmente delicado por lo que implica en términos de privacidad y seguridad financiera. La compañía explica que se trataba de un problema de permisos y que lo abordó imponiendo restricciones adicionales.
En paralelo, la actualización corrige varios fallos de divulgación involuntaria de información. En algunos casos, los problemas estaban relacionados con registros (logs) que podían dejar expuestos datos sensibles y que han sido tratados con mejoras en la redacción (data redaction). En términos prácticos, el cambio apunta a evitar que información privada termine apareciendo donde no debe, ya sea en diagnósticos del sistema o en rutas internas accesibles para apps.
La lista incluye también un caso llamativo por su impacto directo en la vida cotidiana: las fotos del álbum de “Fotos ocultas” podrían verse sin autenticación. En un entorno donde muchos usuarios utilizan ese álbum como una “caja fuerte” de contenido personal, el mero hecho de que Apple lo incluya en un parche de seguridad da una medida del tipo de fallos que pueden pasar desapercibidos hasta que se documentan y se corrigen.
FaceTime en el foco: suplantación, control remoto y campos de contraseña expuestos
Otra parte del boletín pone el foco en FaceTime, una aplicación que en los últimos años ha crecido en relevancia, tanto en el ámbito personal como en el profesional. Apple señala que un atacante podría suplantar el identificador de quien llama (caller ID) debido a un problema de estado de interfaz, corregido con una mejor gestión interna.
A eso se suma una situación todavía más incómoda por su componente “visual”: Apple indica que los campos de contraseña podrían revelarse de manera no intencionada cuando un dispositivo está siendo controlado remotamente a través de FaceTime. El parche, de nuevo, se basa en mejorar la gestión de estados. Traducido: evitar que, en una sesión remota, un campo que debería permanecer protegido termine mostrándose en pantalla o comportándose de forma insegura.
Este tipo de fallos son especialmente relevantes porque no dependen de un ataque masivo clásico. A veces, basta un contexto concreto —una llamada, una sesión de control remoto, un cambio de pantalla— para que el sistema se comporte de forma inesperada.
WebKit vuelve a ser protagonista: fallos con historial de explotación dirigida
El apartado más serio del documento vuelve a apuntar al corazón de la experiencia iPhone y iPad: el motor WebKit, base de Safari y de muchas visualizaciones web dentro de apps. La actualización corrige múltiples fallos de corrupción de memoria, condiciones de carrera y errores típicos de manejo de memoria (como use-after-free y buffer overflow), que en conjunto suelen representar un riesgo alto.
Apple llega a afirmar que es consciente de informes según los cuales al menos un fallo podría haberse explotado en un ataque “extremadamente sofisticado” contra individuos concretos, en versiones de iOS anteriores a iOS 26. En el boletín, ese riesgo se vincula a vulnerabilidades que podrían permitir desde ejecución de código hasta corrupción de memoria en el procesamiento de contenido web. La compañía no da más detalles —su política habitual es no confirmar ni discutir cuestiones hasta que la investigación está cerrada y el parche está disponible—, pero la formulación es suficiente para que el mensaje quede claro: hay escenarios en los que navegar por contenido web malicioso puede ser la puerta de entrada a ataques de alto nivel.
En la práctica, este tipo de advertencias suele interesar especialmente a perfiles de alto riesgo (periodistas, personal diplomático, directivos, activistas, investigadores), pero no se limita a ellos: cuando un motor web corrige una cadena de fallos, el impacto potencial afecta a cualquiera que consuma contenido online desde el móvil.
Privilegios, permisos y “huellas” del usuario: cuando una app sabe más de lo que debería
Más allá de WebKit, iOS 26.2 y iPadOS 26.2 corrigen problemas que, sin sonar tan espectaculares como “ejecución de código”, son fundamentales para la privacidad y el modelo de seguridad del sistema:
- Se parchea un fallo por el que una app podría identificar qué otras apps tiene instaladas el usuario, algo que puede utilizarse para crear perfiles, inferir hábitos o dirigir ataques.
- Se corrige un problema de permisos que permitía a una app acceder de manera inapropiada a archivos a través de la API de corrección ortográfica (spellcheck), una vía sorprendente que ilustra cómo las superficies de ataque pueden aparecer en lugares inesperados.
- Apple también aborda un caso en el que una app podría obtener privilegios de root. En su descripción, la compañía menciona un desbordamiento de entero y la adopción de marcas de tiempo de 64 bits como parte de la mitigación. En un sistema moderno, este tipo de escaladas de privilegios son de las más críticas: si un atacante consigue “subir” de permisos, el resto de defensas se vuelve más fácil de sortear.
Además, se recogen correcciones de corrupción de memoria y de validaciones de límites al procesar archivos o datos maliciosos, un patrón que suele estar detrás de cierres inesperados, fallos de estabilidad y, en casos extremos, vectores de explotación.
Dependencias de código abierto: cuando el riesgo llega “de fuera”
El boletín también incluye vulnerabilidades identificadas como problemas de código abierto que afectan a proyectos usados por Apple, con CVE asignados por terceros. Entre ellos aparecen múltiples cuestiones en curl, una biblioteca ampliamente utilizada para comunicaciones, además de otra vulnerabilidad de terceros relacionada con el procesamiento de archivos. Es un recordatorio de cómo, incluso en ecosistemas muy controlados, la cadena de suministro de software y las dependencias compartidas forman parte del riesgo.
Un patrón que se repite: actualizar deja de ser un trámite
La lista completa de cambios dibuja un mapa bastante claro. Hay parches para privacidad (historial de Safari, fotos ocultas, datos sensibles), para integridad del sistema (root), para comunicaciones (FaceTime) y para navegación web (WebKit). No es un parche “de una cosa”: es un paquete de correcciones que toca el núcleo del uso diario del dispositivo.
En un mundo donde el móvil funciona como cartera, llavero, oficina y álbum personal, Apple vuelve a insistir en su postura habitual: no detalla fallos hasta tener parches disponibles. Para el usuario, la conclusión práctica es sencilla: las actualizaciones de seguridad ya no son un apartado secundario del sistema, sino una parte central de la protección.
Preguntas frecuentes
¿Qué dispositivos pueden instalar iOS 26.2 y iPadOS 26.2 según Apple?
iOS 26.2 está disponible para iPhone 11 y posteriores. iPadOS 26.2 llega a varios modelos, incluidos iPad Pro de 12,9″ (3.ª generación y posteriores), iPad Pro de 11″ (1.ª generación y posteriores), iPad Air (3.ª generación y posteriores), iPad (8.ª generación y posteriores) e iPad mini (5.ª generación y posteriores).
¿Qué riesgo corrige iOS 26.2 relacionado con WebKit y Safari?
Apple corrige varios fallos al procesar contenido web que podían provocar cierres, corrupción de memoria e incluso escenarios más graves. La compañía indica que tiene constancia de informes de explotación dirigida “extremadamente sofisticada” en versiones anteriores a iOS 26.
¿Por qué es importante el parche que afecta a tokens de pago en iOS 26.2?
Porque los tokens de pago son elementos sensibles ligados a transacciones. Apple describe un problema de permisos que podía permitir a una app acceder a esos tokens y lo corrige con restricciones adicionales.
¿Qué tipo de fallos de privacidad se incluyen en iPadOS 26.2?
Entre otros, Apple menciona correcciones para evitar que se puedan ver fotos del álbum de “Fotos ocultas” sin autenticación y para reducir riesgos de exposición de datos sensibles por registros o controles de privacidad insuficientes.
