iMessage: Apple corrige una falla que podía meter a un extraño en tus chats grupales

Apple publicó el 9 de noviembre de 2026 nueve actualizaciones de seguridad para iPhone, iPad, Mac, Apple Watch y Vision Pro. La que más llama la atención es una falla de iMessage, la CVE-2026-113961, que según la nota oficial de iOS 27.2.1 podía permitir que un atacante remoto se uniera a un chat grupal de iMessage y recibiera sus mensajes («A remote attacker may be able to join an iMessage group chat and receive its messages»). La misma actualización corrige otra, la CVE-2026-113960, por la que alguien agregado a un grupo podía leer mensajes enviados antes de que entrara.

Qué hacer hoy: en el iPhone o el iPad, andá a Configuración › General › Actualización de software y tocá Descargar e instalar. Si ves iOS 27.2.1 o iOS 26.7.3, cualquiera de las dos trae los arreglos de iMessage. En la Mac, las versiones son macOS Golden Gate 27.2.1, Tahoe 26.7.3 o Sequoia 15.8.3. En el Apple Watch, solo watchOS 27.2.1 los trae.

Hay dos letras chicas que esta nota explica más abajo. La primera: la actualización para el iPhone XS, XS Max, XR y el iPad de 7.ª generación, y la de los Apple Watch Series 6 a 8, SE y Ultra, no incluyen los arreglos de iMessage. La segunda: el domingo 8, un día antes de estas actualizaciones, se publicó worse_query, un escape del sandbox de iOS sobre el que Binance alertó a sus usuarios el 10 de noviembre, y que las notas de Apple del 9 no mencionan. Para eso no hay arreglo confirmado, pero hay cosas concretas que podés hacer.

Qué corrigió Apple en iMessage y qué no dice

Las dos fallas de iMessage están en el componente Messages. La primera, CVE-2026-113961, es un problema de autorización que Apple resolvió «with improved validation», o sea, revisando mejor quién tiene permiso para qué. Traducido: el sistema podía dejar que alguien que no estaba invitado se colara en un grupo y empezara a recibir lo que se escribía ahí. La segunda, CVE-2026-113960, Apple la resolvió de forma más drástica: «by removing the vulnerable code», borrando el código vulnerable. Esa permitía que un miembro nuevo del grupo viera mensajes de antes de su llegada, que es justo lo que la gente espera que no pase cuando suma a alguien a una conversación.

Las dos figuran acreditadas a «an anonymous researcher», un investigador anónimo. Y acá termina lo que se sabe. Las notas no dicen si alguien llegó a aprovechar las fallas, qué necesitaba un atacante para hacerlo, si los demás miembros del grupo verían al intruso en la lista o si alcanza con que actualice uno o tienen que actualizar todos. The Hacker News marcó esas mismas ausencias. Apple aplica su regla de siempre, que repite en cada nota: «Apple doesn’t disclose, discuss, or confirm security issues until an investigation has occurred and patches or releases are available» (Apple no divulga, comenta ni confirma problemas de seguridad hasta que hubo una investigación y hay parches disponibles).

Ante la duda sobre si alcanza con que actualice uno, la respuesta práctica es la misma para todos: que actualice cada persona del grupo. Si tenés un grupo familiar o de trabajo en iMessage, mandá el aviso. No hace falta dramatizar: con decir «actualicen el iPhone, que Apple arregló una falla de los grupos» alcanza.

La falla de iMessage no llegó sola. En dos semanas se cruzaron otras dos historias que esta nota también cuenta: una falla de Brotli que CISA ya tenía en su catálogo y worse_query. Así quedan en el calendario:

Qué versión instalar, según tu equipo

Apple sacó una versión distinta para cada sistema, y no todas traen lo mismo. Esta tabla cruza las nueve notas de seguridad del 9 de noviembre, que figuran en el índice de actualizaciones de seguridad de Apple, con lo que cada una corrige:

Si tu iPhone está en iOS 26 y no querés pasar a la 27 todavía, no hace falta: la 26.7.3 trae los mismos arreglos de iMessage, de Brotli y de Bluetooth que la 27.2.1. Lo que le falta a la 26.7.3 es una corrección de App Intents, el sistema que usan las apps para ofrecer acciones a Siri y a Atajos (la CVE-2026-113963, por la que una app podía acceder a datos sensibles del usuario). Esa está en la 27.2.1, en watchOS 27.2.1 y en visionOS 27.2.1.

Dos consejos de la guía oficial de Apple para actualizar que ahorran un mal rato. Antes de actualizar, hacé un respaldo con iCloud o en la computadora, conectá el equipo al cargador y usá Wi-Fi. Y si la actualización no aparece, Apple avisa que «las conexiones VPN y proxy» pueden impedir que el equipo llegue a sus servidores: probá desactivar la VPN un momento.

Quiénes se quedan afuera del arreglo de iMessage

La nota de iOS 18.7.12, la versión para el iPhone XS, XS Max, XR y el iPad de 7.ª generación, corrige seis fallas, pero ninguna de iMessage. Lo mismo pasa con la nota de watchOS 26.6.1, para los Apple Watch Series 6, 7, 8, SE de 2.ª generación y Ultra: cinco correcciones, todas de Bluetooth y AirPlay.

Lo que esas notas no dicen es si esos equipos están expuestos a las fallas de iMessage. Puede ser que el código vulnerable no exista en esas versiones, o puede ser que el arreglo llegue después. Apple no lo aclara y no vamos a adivinar. Lo que sí podemos decir es qué hacer mientras tanto:

• Instalá igual la actualización disponible. iOS 18.7.12 y watchOS 26.6.1 corrigen las fallas de Bluetooth y AirPlay de la sección siguiente, que son reales.
• Revisá quién está en tus grupos de iMessage, sobre todo los que usás para temas sensibles: trabajo, plata, documentos. Si ves un número o un contacto que no reconocés, sacalo del grupo.
• Volvé a mirar el índice de Apple en unos días. Si sale una actualización para estos equipos que liste las CVE-2026-113961 y 113960, ahí vas a saber que les hacía falta.

Bluetooth y AirPlay: el arreglo que llega a todos

Las nueve actualizaciones del 9 de noviembre, incluidas las de los equipos viejos, corrigen cinco fallas de Bluetooth y AirPlay. Según las notas de Apple, dos podían permitir que un dispositivo Bluetooth malicioso, o un atacante dentro del alcance del Bluetooth, se emparejara con tu equipo sin que vos hicieras nada (CVE-2026-113965 y CVE-2026-113964). Otras dos podían permitir saltear el límite de intentos del código de emparejamiento: una desde el alcance del Bluetooth (CVE-2026-113968, en AirPlay) y otra desde la misma red, para el código de emparejamiento de AirPlay (CVE-2026-113969, en el componente rapportd). La quinta, CVE-2026-113970, podía permitir corromper la memoria de un proceso desde el alcance del Bluetooth.

Cuatro de las cinco requieren estar dentro del alcance del Bluetooth, así que el escenario no es un atacante en otro país sino alguien cerca: en el colectivo, en un bar, en una sala de espera. La de rapportd, en cambio, es desde la misma red, como un Wi-Fi público. Apple no dice qué podría hacer un dispositivo que se emparejó de esa forma. Si no podés actualizar hoy, apagar el Bluetooth en lugares con mucha gente y evitar redes Wi-Fi públicas son precauciones razonables, aunque Apple no las propone como medida para estas fallas.

Brotli: una falla que CISA ya tenía en su catálogo de explotadas

Hay un tercer arreglo que vale contar. Las actualizaciones que corrigen iMessage también corrigen la CVE-2026-111497, una escritura fuera de límites en Brotli, una biblioteca de compresión de datos de Google que, como advierte CISA, puede estar en distintos productos. Apple la describe como «processing maliciously crafted input may lead to memory corruption» (procesar datos armados con mala intención puede corromper la memoria).

Esa falla no es nueva para la agencia de ciberseguridad de Estados Unidos. CISA la sumó a su catálogo de vulnerabilidades explotadas el 27 de octubre, con plazo para que las agencias federales la corrijan el 10 de noviembre, el día después de estas actualizaciones. Un dato que conviene leer con cuidado: el catálogo nombra a Google Brotli como el producto afectado y advierte que el componente «could be used by different products» (podría estar en distintos productos), pero no menciona a Apple. Y las notas de Apple no hablan de ataques. Que la falla se haya usado en algún lado no quiere decir que se haya usado contra un iPhone.

Igual de cuidado con el otro lado: iOS 18.7.12 y watchOS 26.6.1 tampoco listan este arreglo, y Apple no dice si esas versiones usan la parte de Brotli afectada.

worse_query: lo que las notas del 9 de noviembre no mencionan

El domingo 8 de noviembre, un día antes de estas actualizaciones, un investigador que firma como forcequit publicó worse_query, un escape del sandbox de iOS. El sandbox es la caja en la que iOS encierra a cada app para que no pueda meterse en los archivos de las demás. Un escape es, justamente, una forma de salir de esa caja. La página del proyecto lo presenta como un escape «for iOS 26 and 27» y lista «iOS 26.0 – 26.7.2 / 27.2»; entre las carpetas a las que dice llegar están las de datos de las apps instaladas.

El 10 de noviembre, a las 9:56 (hora universal), Binance publicó un aviso en su cuenta oficial de X:

«A vulnerability (worse_query) affecting iOS 26.7.1, 27.0.1, and 27.2 allows malicious apps to read local files from other apps, putting seed phrases, private keys, and login credentials at risk across the entire ecosystem. This is an iOS-level issue, not unique to Binance.»

(Una vulnerabilidad, worse_query, que afecta a iOS 26.7.1, 27.0.1 y 27.2, permite que apps maliciosas lean archivos locales de otras apps, y pone en riesgo frases semilla, claves privadas y credenciales de inicio de sesión en todo el ecosistema. Es un problema de iOS, no exclusivo de Binance.)

Binance, en su cuenta oficial de X, 10 de noviembre de 2026. Traducción de TCD.

Las tres versiones que nombra Binance son las que el desarrollador de WQ Files, un administrador de archivos construido sobre worse_query, lista como probadas. Ni Binance ni el investigador informaron ataques ni robos, y ninguno nombró una billetera en particular como expuesta.

El punto que importa para el usuario común: las notas de iOS 27.2.1 y 26.7.3 no mencionan worse_query ni ninguna falla del sandbox. Eso no prueba que sigan siendo vulnerables, ni que estén arregladas: Apple simplemente no dijo nada. Según The Hacker News, de las fuentes que revisó, solo los desarrolladores de Erosion, otro proyecto que usa worse_query, agregaron la 27.2.1 a su lista esta semana, con la nota «pretty sure 27.2.1 is supported» (bastante seguros de que la 27.2.1 funciona), y ninguna lista la 26.7.3.

El investigador contó por qué lo publicó antes de que hubiera arreglo. A alguien que le dijo que publicarlo antes quizás no había sido la mejor idea, le respondió en X: «I agree (and I wasn’t planning on it), but I don’t mind the loss of any potential bounty tbh, when Apple was stalling on responding to me and people started larping with it on here» (estoy de acuerdo, y no lo tenía planeado, pero la verdad no me importa perder una posible recompensa, cuando Apple estaba demorando en responderme y la gente empezó a hacer teatro con eso acá). Es su versión; Apple no se refirió a eso en sus notas.

Qué tan expuesto estás, de verdad

Acá hay un matiz que cambia mucho el riesgo. Según su autor, worse_query es una prueba de concepto para desarrolladores que no sirve por sí sola, y para usarlo una app tiene que tener configurado un contenedor compartido, lo que Apple llama App Group. WQ Files, la app construida sobre worse_query que más se menciona, se instala por sideloading, es decir, por fuera de la App Store, con herramientas como AltStore o SideStore. Nadie de los involucrados dijo si una app publicada en la App Store podría usarlo.

Traducido al día a día: si solo instalás apps desde la App Store, el escenario que describe Binance requiere algo que no se sabe si es posible. Si instalaste apps por fuera, el riesgo es concreto.

Lo que Binance recomienda, y que sirve para cualquiera con una billetera cripto, una app de banco o un gestor de contraseñas en el iPhone:

• Borrá las apps instaladas desde fuentes no confiables, como las que cargaste a mano o firmaste vos mismo.
• Actualizá iOS y todas las apps a sus últimas versiones oficiales. Las de iOS no dicen arreglar worse_query, pero cada una corrige lo que lista su nota.
• Si sospechás que alguien entró, Binance aconseja pasar los fondos a una billetera nueva creada en un equipo limpio y cerrar todas las sesiones activas.

Si administrás los equipos Apple de una pyme

En una oficina con iPhones y Macs, el problema suele ser saber qué tiene cada uno. Tres cosas para hoy:

• Hacé el inventario por versión. Todo iPhone 11 o posterior y todo iPad compatible que no esté en 27.2.1 o 26.7.3, toda Mac que no esté en Golden Gate 27.2.1, Tahoe 26.7.3 o Sequoia 15.8.3, todo Apple Watch Series 9 o posterior que no esté en watchOS 27.2.1 y todo Vision Pro que no esté en visionOS 27.2.1 está pendiente.
• Separá los equipos cuya actualización no lista el arreglo de iMessage (iPhone XS, XS Max y XR, iPad de 7.ª generación, y Apple Watch Series 6 a 8, SE de 2.ª generación y Ultra): instalales igual la versión del 9 de noviembre y evitá que se usen para grupos donde circula información de la empresa.
• Prohibí el sideloading en los equipos de trabajo, si no lo hiciste ya. Es la condición que hace concreto el riesgo de worse_query.

Lo que todavía no se sabe

Las tres dudas grandes ya quedaron dichas: si alguien usó las fallas de iMessage antes del parche, si los equipos viejos las tienen y si iOS 27.2.1 o 26.7.3 cierran worse_query. Falta una: para América Latina no hay ningún dato de víctimas de nada de esto, y sería inventar decir que las hay o que no.

Lo que sí está claro es que la actualización existe, es gratis y tarda unos minutos. Es de esas veces en que la mejor defensa cabe en «Configuración › General». Vamos a seguir el índice de seguridad de Apple, y si aparece un arreglo para worse_query o para los equipos que quedaron afuera, lo contamos.

Fuentes

• Apple, «About the security content of iOS 27.2.1 and iPadOS 27.2.1» (en inglés), 9 de noviembre de 2026. Traducción de TCD.
• Apple, «About the security content of iOS 26.7.3 and iPadOS 26.7.3» (en inglés), 9 de noviembre de 2026.
• Apple, «About the security content of iOS 18.7.12 and iPadOS 18.7.12» (en inglés), 9 de noviembre de 2026.
• Apple, notas de macOS Golden Gate 27.2.1, macOS Tahoe 26.7.3 y macOS Sequoia 15.8.3 (en inglés), 9 de noviembre de 2026.
• Apple, notas de watchOS 27.2.1, watchOS 26.6.1 y visionOS 27.2.1 (en inglés), 9 de noviembre de 2026.
• Apple, «Apple security releases» (en inglés), índice de actualizaciones de seguridad, consultado el 10 de noviembre de 2026.
• Apple, «Actualiza el iPhone o iPad», Soporte técnico de Apple.
• CISA, catálogo de vulnerabilidades explotadas (en inglés), versión del 9 de noviembre de 2026, consultada el 10.
• Binance, aviso sobre worse_query en su cuenta oficial de X (en inglés), 10 de noviembre de 2026. Traducción de TCD.
• forcequit, respuesta en X (en inglés), 8 de noviembre de 2026. Traducción de TCD.
• The Hacker News, «Apple Patches iMessage Group Chat Privacy Flaws and Bluetooth Pairing Vulnerabilities» (en inglés), 10 de noviembre de 2026.
• The Hacker News, «Binance Warns of iOS Sandbox Escape That Could Expose Crypto Wallet Keys, No Fix Confirmed» (en inglés), 10 de noviembre de 2026.
• No enlazamos el repositorio de worse_query ni el de WQ Files porque contienen el código del escape; los citamos por su nombre.
• Créditos de imagen: fotomontajes editoriales asistidos por IA con la captura oficial de Apple de la pantalla Actualización de software (publicada en su página de soporte) y los logos de Apple y Binance tomados de sus cuentas oficiales.