TL;DR:
- Apple liberó iOS 26.6, iPadOS 26.6, macOS Tahoe 26.6, watchOS 26.6, tvOS 26.6 y visionOS 26.6, además de parches para macOS Sequoia y Sonoma.
- Apple documenta 78 entradas asociadas con 87 identificadores CVE en iOS y iPadOS; macOS Tahoe 26.6 reúne 155 CVE únicos.
- Los fallos podían exponer datos personales, permitir privilegios de root, romper el aislamiento de apps, evadir Gatekeeper o afectar el kernel.
Apple liberó el 27 de julio de 2026 sus actualizaciones de cierre de ciclo para iPhone, iPad, Mac, Apple Watch, Apple TV y Apple Vision Pro. iOS 26.6 y iPadOS 26.6 incluyen 78 entradas de vulnerabilidad asociadas con 87 identificadores CVE, mientras que un recuento de 9to5Mac eleva macOS Tahoe 26.6 a 155 CVE únicos. Al eliminar coincidencias entre plataformas, el conjunto de actualizaciones suma 194 CVE únicos.
Las novedades visibles son menores. La prioridad de esta ronda está en cerrar rutas que podían llevar a datos protegidos, procesos del sistema y componentes del kernel.
iOS 26.6 corrige 87 identificadores CVE
El boletín oficial de Apple enumera fallas en componentes como Siri, WebKit, Contacts, Game Center, App Store, Kernel, CoreAudio y Apple Neural Engine. La diferencia entre 78 entradas y 87 CVE se debe a que algunas entradas contienen más de un identificador.
Entre los impactos descritos por Apple aparecen:
- Un atacante con acceso físico podía consultar información sensible durante una sesión de iPhone Mirroring.
- Una aplicación podía identificar al usuario mediante Accounts Framework o AuthKit, o acceder a datos protegidos a través de App Store, Game Center y Managed Configuration.
- Una aplicación podía ejecutar código arbitrario con privilegios del kernel debido a un desbordamiento en AVEVideoEncoder.
- Un contacto manipulado podía filtrar datos, añadir nuevos contactos sin autorización o permitir que una aplicación consultara información de la agenda.
- Contenido web malicioso podía revelar memoria de procesos, falsificar elementos de la interfaz o romper reglas de aislamiento de iframes.
- Apple eliminó código vulnerable de Siri que podía permitir a una aplicación acceder a información sensible.
La lista también incluye errores de memoria, permisos, validación de archivos y conexiones de red. Algunos podían provocar el cierre inesperado de una aplicación, mientras que otros tenían consecuencias más profundas sobre el aislamiento del sistema.
macOS Tahoe concentra el parche más grande
macOS Tahoe 26.6 reúne el mayor volumen de correcciones de esta ronda. 9to5Mac contabilizó 155 CVE únicos en la documentación publicada por Apple.
La ficha oficial describe vulnerabilidades con impactos que van mucho más allá de un cierre inesperado:
- Una aplicación podía obtener privilegios de root.
- Un proceso malicioso podía escapar de su sandbox.
- Un archivo podía evadir comprobaciones de Gatekeeper.
- Aplicaciones podían acceder a datos protegidos, memoria del kernel o información sensible del usuario.
- Archivos de imagen, audio, video o modelos 3D manipulados podían provocar corrupción de memoria, cierres inesperados o ejecución de código.
- Fallas en componentes como SMB, WebDAV, Screen Sharing Server y Security podían afectar conexiones, credenciales o el llavero del sistema.
El número no significa que cada usuario haya estado expuesto a todas esas rutas al mismo tiempo. Cada CVE depende del componente afectado y de las condiciones necesarias para explotarlo, pero el volumen explica por qué macOS Tahoe 26.6 merece una instalación prioritaria aunque no incluya grandes cambios visuales.
Apple también parchea equipos que no usan Tahoe
El lanzamiento no se limitó a las versiones más recientes. Apple distribuyó macOS Sequoia 15.7.8 y macOS Sonoma 14.8.8 para equipos que todavía no han migrado a Tahoe.
El mismo ciclo llegó a otros dispositivos:
- watchOS 26.6 para Apple Watch Series 6 y modelos posteriores.
- tvOS 26.6 para Apple TV HD y Apple TV 4K.
- visionOS 26.6 para todos los modelos de Apple Vision Pro.
- iOS 26.6 para iPhone 11 y posteriores, además de los modelos compatibles con iOS 26.
- iPadOS 26.6 para los iPad compatibles con la generación actual del sistema.
Las correcciones se repiten entre productos porque Apple comparte componentes como WebKit, Accounts Framework, Apple Neural Engine y varias partes del kernel. Por eso no conviene sumar de forma directa las cifras de cada boletín: el recuento consolidado elimina las vulnerabilidades repetidas.
Las novedades visibles son pequeñas, pero Apple Maps gana aislamiento
Fuera de los parches, iOS 26.6 es una actualización de mantenimiento. AppleInsider reportó la presencia de un framework interno llamado Maps BlastDoor, diseñado para procesar datos potencialmente peligrosos dentro de un entorno restringido antes de entregarlos a Apple Maps.
Apple no ha documentado públicamente esa implementación ni la ha relacionado con un ataque concreto. La información apunta a una barrera adicional para reducir el impacto de contenido manipulado dentro de la aplicación de mapas.
iOS 26.6 también muestra una alerta más clara cuando el usuario alcanza el límite de 20,000 contactos bloqueados. Al llegar a esa cifra, es necesario eliminar un número existente antes de añadir otro.
Apple está reservando las funciones de mayor alcance para iOS 27 y macOS 27. FomoEra ya revisó la beta pública de iOS 27 y su nueva Siri AI, pero esa versión de prueba no sustituye las correcciones de seguridad disponibles en iOS 26.6.
Claude, Codex y otras IA aparecen en los créditos
Los documentos de Apple también muestran un cambio en la investigación de vulnerabilidades. Anthropic y Claude aparecen acreditados en fallas relacionadas con WebKit, WebKit Storage y WebDAV, en algunos casos junto con investigadores de Calif.io.
Otro análisis de 9to5Mac señala que Apple también reconoce trabajos vinculados con OpenAI Codex Security, GLM de Z.AI y el equipo de IA de NVIDIA.
El mismo análisis identificó 30 CVE distintos relacionados con el kernel dentro de las actualizaciones publicadas en esta ronda. Los créditos no indican qué parte del hallazgo realizó cada modelo ni implican que la revisión haya ocurrido sin supervisión humana. Sí muestran que las herramientas de IA ya forman parte de los equipos que buscan fallas en sistemas operativos comerciales.
Cómo instalar las actualizaciones de Apple
En iPhone y iPad, abre Ajustes, entra en General y selecciona Actualización de software. En Mac, abre el menú Apple y ve a Configuración del Sistema, General y Actualización de software.
Apple Watch, Apple TV y Vision Pro tienen sus propios paneles de actualización. Conviene instalar los paquetes con el dispositivo conectado a corriente y a una red Wi-Fi estable.
Para el usuario, iOS 26.6 puede parecer una actualización discreta. En términos de protección, corrige rutas que pasan por contactos, WebKit, archivos multimedia, permisos, sandbox y kernel. Quienes conservan una Mac con Sequoia o Sonoma también reciben parches propios, así que no necesitan saltar a Tahoe para cerrar estas vulnerabilidades.
