Ing. Calogero Bono
Apple ha lanzado iOS 27.2.1 y las actualizaciones gemelas para iPadOS, macOS, watchOS y visionOS, sin funciones nuevas pero con correcciones de seguridad. Las notas iniciales eran escasas, después la compañía publicó la documentación completa. Dentro hay fallos en iMessage, AirPlay y Bluetooth y el cierre del caso de los certificados eMudhra en macOS. Ahora que los detalles son públicos, actualizar es todavía más urgente.
Algunos términos, antes de entrar en los hechos. CVE es el código que identifica una vulnerabilidad conocida. Autoridad de certificación es la entidad que emite los certificados con los que un sitio demuestra que es el auténtico. Clave privada es el secreto que permite firmar esos certificados; si se filtra, puede servir para falsificarlos. Línea de comandos indica herramientas como curl y git, que se usan desde el terminal y no pasan por las apps del sistema. Límite de intentos es el tope de pruebas permitidas, por ejemplo con un código de emparejamiento.
¿Qué versiones ha lanzado Apple?
Según HDblog, iOS 27.2.1 llega a las dos semanas de iOS 27.2 y corrige errores y problemas de seguridad. Salen juntos PadOS, macOS Golden Gate, watchOS y visionOS 27.2.1.
Las correcciones llegan también a los sistemas anteriores, con 26.7.3 y 18.7.12 para iOS y iPadOS. Para Mac hay macOS Tahoe 26.7.3 y macOS Sequoia 15.8.3, mientras watchOS 26 pasa a la 26.6.1.
Ya habíamos contado el paquete de actualizaciones del 9 de noviembre. Mientras tanto continúa la beta de iOS 27.3, de la que escribimos con motivo de la primera beta.
¿Qué se podía hacer con los fallos de iMessage?
Dos vulnerabilidades afectan a iMessage. Con la CVE-2026-113961 un atacante remoto habría podido entrar en un chat de grupo sin invitación y recibir los mensajes. Con la CVE-2026-113960, quien era añadido a un grupo habría podido leer también los mensajes intercambiados antes de su entrada.
Son escenarios que afectan a la confidencialidad de las conversaciones, también las de trabajo entre compañeros y colaboradores.
¿Qué problemas había en AirPlay y Bluetooth?
Según MacRumors, la mayoría de los fallos afectaba a AirPlay y Bluetooth. Un dispositivo Bluetooth malicioso habría podido emparejarse sin interacción del usuario. Otro defecto habría permitido a un atacante cercano corromper la memoria de un proceso.
Varios errores permitían eludir el límite de intentos del código de emparejamiento de AirPlay. HDblog cita además un fallo en App Intents, que podía dar a una app acceso a datos sensibles sin los permisos necesarios. Apple se atribuye cuatro vulnerabilidades, así que fueron encontradas internamente.
¿Qué tiene que ver eMudhra con macOS?
Como reconstruye 9to5Mac, Mozilla había informado del compromiso de las claves privadas de ocho autoridades de certificación intermedias gestionadas por eMudhra, empresa india. Apple había bloqueado los certificados desde el 19 de octubre, con más protecciones el 23, mediante actualizaciones automáticas.
Quedaban sin cubrir herramientas como curl y git, que podían aceptar esos certificados. macOS 27.2.1, 26.7.3 y 15.8.3 cierran el hueco y retiran cinco certificados raíz de /etc/ssl/cert.pem, entre ellos tres de eMudhra que no estaban incluidos en la solución manual inicial.
Las apps con una lista propia de certificados no siguen el bloqueo de Apple, y hay que preguntar a los desarrolladores.
Límites que conviene conocer
Apple no ha dicho si los fallos se han explotado en ataques reales, y lo señalan todas las fuentes. No sabemos cuántos dispositivos estaban realmente expuestos ni si existen exploits públicos. Las fuentes no explican cómo se resolvió cada defecto. Queda también por ver qué apps con certificados propios serán corregidas por sus desarrolladores.
Qué cambia para quien trabaja con lo digital
Para quienes usan iPhone y Mac en el trabajo, la actualización conviene hacerla cuanto antes. En iPhone y iPad ve a Ajustes, General, Actualización de software. En Mac, a Ajustes del Sistema, Actualización de software. Quien gestione una flota de dispositivos debería verificar las versiones instaladas, incluidas las más antiguas como iOS 18.7.12.
Los desarrolladores que usan curl o git en Mac, por ejemplo en scripts de compilación, deben actualizar macOS o aplicar el procedimiento manual de Apple. Si una app trae sus propios certificados raíz, conviene consultarlo con quien la desarrolló.
Nuestra opinión
La corrección es correcta, pero el método deja dudas. Notas casi vacías al lanzamiento y detalles solo después empujan a instalar a ciegas, mientras quien ataca compara los parches en pocas horas. En el caso eMudhra Apple actuó bien con los bloqueos automáticos, pero hicieron falta semanas para cubrir las herramientas de terminal, precisamente las que usan los desarrolladores. Una lección útil para quien gestiona servidores e infraestructuras. Los certificados forman una cadena, y basta con un eslabón descubierto.
Preguntas frecuentes
¿iOS 27.2.1 añade funciones nuevas?
No. Según HDblog corrige errores y problemas de seguridad, sin novedades. Las funciones nuevas llegarán con iOS 27.3, que ahora está en beta.
¿Se han explotado los fallos en ataques?
No se sabe. Apple no ha dicho que se hayan explotado en el mundo real. Con los detalles ya públicos, los dispositivos sin actualizar siguen más expuestos.
¿Qué sistemas anteriores reciben las correcciones?
Las versiones 26.7.3 y 18.7.12 para iOS y iPadOS. Para Mac hay macOS Tahoe 26.7.3 y Sequoia 15.8.3, y para watchOS la 26.6.1.
¿Qué es el problema de los certificados eMudhra?
Es el compromiso de las claves de ocho autoridades de certificación intermedias. Con esas claves se podían crear certificados falsos pero aparentemente válidos, para copiar sitios e interceptar datos.
¿Cómo actualizo mi dispositivo?
En iPhone y iPad ve a Ajustes, General, Actualización de software. En Mac abre Ajustes del Sistema y elige Actualización de software.
Qué vigilar tras iOS 27.2.1, entre la beta 27.3 y las apps con certificados propios
Los parches ya han salido, pero la historia no está cerrada. Importan los próximos lanzamientos y el comportamiento de las apps que no siguen el bloqueo de Apple.
- Comprueba si las herramientas que usas traen una lista propia de certificados raíz y consulta con sus desarrolladores.
- Sigue las betas de iOS 27.3 para saber qué otras correcciones llegarán.
- Vigila las posibles publicaciones de exploits públicos para las CVE de iMessage, AirPlay y Bluetooth.
