iPhone, Mac, Apple Watch y casco: Apple parcheó una vulnerabilidad que permitía acceder a conversaciones ajenas en cinco plataformas

Los chats grupales de iMessage podían revelar conversaciones a terceros incluso sin comprometer la cuenta. Apple confirmó dos vulnerabilidades que permitían entrar de forma remota en una conversación ajena o leer mensajes enviados antes de la incorporación al grupo. Se necesitaron parches no solo para iPhone y iPad, sino también para equipos Mac, Apple Watch y Apple Vision Pro. Los problemas se ocultaban en las comprobaciones de acceso.

La primera falla, CVE-2026-113961, afectaba la comprobación de los derechos de los participantes en la conversación grupal. Debido a una autorización incorrecta, un atacante potencialmente podía unirse a un chat ajeno a través de la red y recibir mensajes. Apple corrigió la verificación de permisos. La evaluación adicional de gravedad es de 7,5 puntos según CVSS 3.1, lo que corresponde a un nivel de riesgo alto.

El segundo problema, CVE-2026-113960, se refería al historial de la conversación. Un usuario que fue añadido legítimamente al grupo, en ciertas condiciones, podía obtener acceso a mensajes enviados antes de su adhesión. A diferencia de la evasión remota de la pertenencia, aquí se suponía la adición real al chat. Para corregir el fallo, Apple eliminó por completo el código vulnerable.

El cifrado de extremo a extremo protege los mensajes durante la transmisión entre dispositivos; sin embargo, por sí solo no garantiza que el destinatario tenga derecho a participar en la conversación o a leer el historial anterior. Apple no divulgó los pasos técnicos exactos de explotación.

Los parches se publicaron el 9 de noviembre en iOS y iPadOS 26.7.3 y 27.2.1. Para Mac están disponibles macOS Sequoia 15.8.3, Tahoe 26.7.3 y Golden Gate 27.2.1. Para los relojes Apple Watch Series 9 y posteriores se lanzó watchOS 27.2.1, y para todos los modelos Apple Vision Pro se preparó visionOS 27.2.1. En todos los boletines mencionados aparecen ambos identificadores CVE. Los paquetes también solucionaron fallos en Bluetooth y AirPlay.

En iPhone las correcciones están disponibles a partir del iPhone 11. Para iPad, los modelos compatibles varían según la rama del sistema. En iPadOS 26.7.3 se incluyen, en particular, el iPad de octava generación y el iPad mini de quinta generación, mientras que iPadOS 27.2.1 está destinada a tabletas más recientes. Es necesario comprobar la presencia del parche con la versión concreta del sistema operativo.

Además, Apple publicó iOS 18.7.12 para iPhone XS, XS Max y XR, así como iPadOS 18.7.12 para el iPad de séptima generación. En el boletín la compañía enumeró otras correcciones, pero ambos errores de iMessage no figuran allí. Situación similar ocurre con watchOS 26.6.1 para relojes más antiguos. Sin embargo, la ausencia de CVE en el boletín no demuestra que los dispositivos correspondientes sean vulnerables.

Apple atribuye ambos hallazgos a un autor anónimo. Al 10 de noviembre la compañía no informó de casos de explotación, de herramientas de ataque publicadas ni de afectados. Para CVE-2026-113960 la puntuación CVSS aún no está disponible. Apple no aclaró si los participantes notarían una conexión ajena ni si todos los dispositivos del grupo deben actualizarse para lograr protección completa.