Apple corrige la vulnerabilidad de WebKit que permite eludir políticas del mismo origen en iOS y macOS...

Apple lanzó el martes su primera ronda de Mejoras de seguridad en segundo plano para corregir una falla de seguridad en WebKit que afecta a iOS, iPadOS y macOS.

La vulnerabilidad, rastreada como CVE-2026-20643 (puntuación CVSS: N/A), se ha descrito como un problema de origen cruzado en la API de navegación de WebKit que podría aprovecharse para eludir la política del mismo origen al procesar contenido web creado con fines malintencionados.

La falla afecta a iOS 26.3.1, iPadOS 26.3.1, macOS 26.3.1 y macOS 26.3.2. Se ha solucionado mejorando la validación de las entradas en iOS 26.3.1 (a), iPadOS 26.3.1 (a), macOS 26.3.1 (a) y macOS 26.3.2 (a). Al investigador de seguridad Thomas Espach se le atribuye el mérito de haber descubierto la deficiencia y denunciarla.

manzana notas que las mejoras de seguridad en segundo plano tienen por objeto ofrecer versiones de seguridad ligeras para componentes como el navegador Safari, la pila de marcos WebKit y otras bibliotecas del sistema a través de parches de seguridad continuos y más pequeños, en lugar de publicarlos como parte de actualizaciones de software más importantes.

La función es compatible y está habilitada para versiones futuras, a partir de iOS 26.1, iPadOS 26.1 y macOS 26. En los casos en los que se descubran problemas de compatibilidad, es posible que las mejoras se eliminen temporalmente y, a continuación, se mejoren en una actualización de software posterior, añade Apple.

Los usuarios pueden controlar las mejoras de seguridad en segundo plano a través del menú Privacidad y seguridad de la aplicación Configuración. Para garantizar que se instalen automáticamente, se recomienda mantener activada la opción «Instalar automáticamente».

Vale la pena señalar que si los usuarios optan por deshabilitar esta configuración, tendrán que esperar hasta que las mejoras se incluyan en la próxima actualización del software. Desde este punto de vista, la función es análoga a Respuesta de seguridad rápida , que es introducido en iOS 16 como una forma de instalar actualizaciones de seguridad menores.

«Si se ha aplicado una mejora de seguridad en segundo plano y decides eliminarla, el dispositivo vuelve a la actualización de software básica (por ejemplo, iOS 26.3) sin aplicar ninguna mejora de seguridad en segundo plano», señala Apple en un documento de ayuda.

El desarrollo se produce poco más de un mes después de Apple emitido correcciones para un día cero explotado activamente que afectaba a iOS, iPadOS, macOS Tahoe, tvOS, watchOS y VisionOS (CVE-2026-20700, puntuación CVSS: 7.8) y podía provocar la ejecución de código arbitrario.

La semana pasada, el fabricante de iPhone también parches expandidos para cuatro fallos de seguridad (CVE-2023-43010, CVE-2023-43000, CVE-2023-41974 y CVE-2024-23222) que se convirtieron en armas como parte del kit de exploits Coruna.