Apple retractó el lunes las correcciones de una falla de seguridad recientemente parcheada que ha sido explotada activamente en la naturaleza.
La vulnerabilidad en cuestión es la CVE-2025-43300 (puntuación CVSS: 8,8), un problema de escritura fuera de los límites del componente ImageIO que podría provocar daños en la memoria al procesar un archivo de imagen malintencionado.
«Apple está al tanto de un informe según el cual este problema podría haber sido explotado en un ataque extremadamente sofisticado contra personas específicas», dijo la empresa.
Desde entonces, WhatsApp ha reconocido que una vulnerabilidad en sus aplicaciones de mensajería para Apple iOS y macOS (CVE-2025-55177, puntuación CVSS: 5,4) se había encadenado con la CVE-2025-43300 como parte de ataques de spyware altamente selectivos dirigidos a menos de 200 personas.
Si bien la deficiencia era dirigido por primera vez del fabricante de iPhone a finales del mes pasado con el lanzamiento de iOS 18.6.2 y iPadOS 18.6.2, iPadOS 17.7.10, macOS Ventura 13.7.8, macOS Sonoma 14.7.8 y macOS Sequoia 15.6.1, también se lanzó para las siguientes versiones anteriores:
- iOS 16.7.12 y iPadOS 16.7.12 - iPhone 8, iPhone 8 Plus, iPhone X, iPad de quinta generación, iPad Pro de 9,7 pulgadas y iPad Pro de 12,9 pulgadas de primera generación
- iOS 15.8.5 y iPadOS 15.8.5 - iPhone 6s (todos los modelos), iPhone 7 (todos los modelos), iPhone SE (primera generación), iPad Air 2, iPad mini (cuarta generación) y iPod touch (séptima generación)
Las actualizaciones han sido desplegado junto a iOS 26, iPadOS 26 , iOS 18.7, iPadOS 18.7 , macOS Tahoe 26 , macOS Sequoia 15.7 , macOS Sonoma 14.8 , tvOS 26 , VisionOS 26 , watchOS 26 , Safari 26 , y Xcode 26 , que también abordan una serie de otros fallos de seguridad-
- CVE-2025-31255 - Una vulnerabilidad de autorización en IOKit que podría permitir a una aplicación acceder a datos confidenciales
- CVE-2025-43362 - Una vulnerabilidad en LaunchServices que podría permitir a una aplicación supervisar las pulsaciones de teclas sin el permiso del usuario
- CVE-2025-43329 - Una vulnerabilidad de permisos en Sandbox que podría permitir que una aplicación saliera de su sandbox
- CVE-2025-31254 - Una vulnerabilidad en Safari que podría provocar un redireccionamiento inesperado de URL al procesar contenido web creado con fines malintencionados
- CVE-2025-43272 - Una vulnerabilidad en WebKit que podría provocar un bloqueo inesperado de Safari al procesar contenido web creado con fines malintencionados
- CVE-2025-43285 - Una vulnerabilidad de permisos en AppSandbox que podría permitir a una aplicación acceder a datos de usuario protegidos
- CVE-2025-43349 - Un problema de escritura fuera de los límites en CoreAudio que podría provocar el cierre inesperado de la aplicación al procesar un archivo de vídeo creado con fines malintencionados
- CVE-2025-43316 - Una vulnerabilidad de permisos en DiskArbitration que podría permitir que una aplicación obtuviera privilegios de root
- CVE-2025-43297 - Una vulnerabilidad de tipo confusión en la administración de energía que podría provocar una denegación de servicio
- CVE-2025-43204 - Una vulnerabilidad en RemoteViewServices que podría permitir que una aplicación saliera de su entorno limitado
- CVE-2025-43358 - Una vulnerabilidad de permisos en los atajos que podría permitir que un atajo eluda las restricciones del sandbox
- CVE-2025-43333 - Una vulnerabilidad de permisos en Spotlight que podría permitir que una aplicación obtuviera privilegios de root
- CVE-2025-43304 - Una vulnerabilidad relacionada con las condiciones de carrera en StorageKit que podría permitir que una aplicación obtuviera privilegios de root
- CVE-2025-48384 - Una vulnerabilidad de Git en Xcode que podría provocar la ejecución remota de código al clonar un repositorio creado con fines malintencionados
Si bien no hay evidencia de que ninguna de las fallas antes mencionadas se haya utilizado como arma en ataques del mundo real, siempre es una buena práctica mantener los sistemas actualizados para una protección óptima.