CVE-2024-27834: la CISA marca como explotada una falla de iPhone de 2024; cómo protegerte

La CISA, la agencia de ciberseguridad de Estados Unidos, sumó el 4 de noviembre de 2026 a su catálogo de vulnerabilidades explotadas una falla de Apple que tiene dos años y medio: la CVE-2024-27834, que permite saltear una protección de memoria de iPhone, iPad, Mac y otros equipos de Apple. La agregó, dice, por evidencia de explotación activa.

Apple la corrigió en mayo de 2024, con iOS 17.5 y, para los iPhone 8, 8 Plus y X, con iOS 16.7.8. O sea: si tu iPhone recibe las actualizaciones, este agujero ya está tapado. El problema es para los que quedaron atrás.

El mismo día, la empresa francesa de ciberseguridad Sekoia publicó una investigación sobre una campaña que usa esa falla. Según Sekoia, sitios web comprometidos o falsos les servían a sus visitantes, sin que tocaran nada, tres cadenas de ataque: dos contra iPhone y una contra Android, todas armadas con fallas ya corregidas. La atribuye, con confianza «moderada a alta», a APT29, un grupo que se vincula con el servicio de inteligencia exterior de Rusia. Y deja el dato que más importa: con el sistema al día, ninguna de las tres funciona.

Qué hacer hoy

Nada de esto cuesta plata, y no hace falta saber de seguridad:

• iPhone o iPad: actualizá a la última versión que ofrezca tu equipo. Andá a Configuración › General › Actualización de software e instalá lo que aparezca. Ya que estás, dentro de esa pantalla entrá en Actualización automática y activala.
• Si tenés un iPhone 8, 8 Plus o X, tu techo es la rama 16: la última que publicó Apple es iOS 16.7.16, del 11 de mayo de 2026. Esa versión trae corregida la CVE-2024-27834 (está corregida desde la 16.7.8), que es el segundo paso de la cadena que describe Sekoia contra iOS 16.7. Pero ojo: según los registros de Apple, la falla del primer paso, la CVE-2025-43529, no tiene corrección publicada para la rama 16. Como el segundo paso sí está corregido, esa cadena, tal como la describe Sekoia, no llega al final; pero un ataque que reemplace ese segundo paso por otra falla podría funcionar. Es nuestra lectura de los registros, y es el límite de un teléfono que ya no recibe la versión más nueva.
• Mac: instalá las actualizaciones de macOS que tengas pendientes. La CVE-2024-27834 está corregida desde macOS Sonoma 14.5 y Safari 17.5. La campaña de Sekoia apuntaba solo a teléfonos.
• Android: actualizá Chrome desde Google Play y las actualizaciones del sistema que tenga pendientes. La cadena para Android apuntaba a Chrome 139 a 145, y su primera falla, la CVE-2026-3910, quedó corregida en Chrome 146.0.7680.75.
• Si tu teléfono quedó en una versión vieja y te preocupa haber entrado a un sitio raro: Sekoia dice que estos programas no se quedan instalados, pero lo que se llevaban eran cookies de sesión (las que te mantienen logueado) y, según la cadena, contraseñas guardadas en el navegador o en el llavero del iPhone. Actualizar no deshace un robo ya hecho: cerrá las sesiones abiertas de tu correo y tus cuentas (casi todos los servicios tienen la opción «cerrar sesión en todos los dispositivos»), volvé a entrar y cambiá las contraseñas que tenías guardadas en el teléfono. Esta recomendación es nuestra, no de Sekoia.

Qué encontró Sekoia

Según la investigación, el equipo de Sekoia descubrió la campaña a mediados de octubre de 2026. Los atacantes usaban tres vías para meter su código en el navegador de la víctima:

• Sitios conocidos, comprometidos o clonados, de Estados Unidos, Ucrania, República Checa y Bulgaria.
• Dominios falsos que se hacían pasar por el sitio original y le metían el código en el camino, sobre todo para visitantes de eventos diplomáticos o de alto perfil.
• Un ataque a la cadena de suministro: entre el 27 de agosto y el 3 de septiembre de 2026, el código de medición de Plerdy, un servicio ucraniano de analítica web, quedó contaminado. Ese script lo cargan, dice Sekoia, miles de sitios, en su gran mayoría ucranianos, entre ellos varios del sector de defensa.

Las tres vías hacían lo mismo: cargaban un script que mira qué teléfono y qué navegador tiene el visitante y, según eso, le servía la cadena correspondiente, sin que la víctima tuviera que tocar nada.

Las versiones de la columna «Qué la corta» salen de los registros CVE que publican Apple y Google para cada falla. Que corregir un eslabón alcance para cortar la cadena es nuestra lectura; Sekoia lo resume así: un dispositivo con el sistema actualizado está a salvo de estos ataques. Lo que se lleva cada cadena es lo que Sekoia encontró en sus cargas; el detalle completo está en su informe.

Un detalle técnico, para los curiosos: la CVE-2024-27834 no sirve sola. Es el segundo paso. La primera falla mete código por el navegador, y esta le saltea a ese código la autenticación de punteros, una defensa de los procesadores de Apple que impide que un programa salte a zonas de memoria donde no debería. Apple le acredita el hallazgo a Manfred Paul, que la reportó a través de la Zero Day Initiative de Trend Micro.

¿Y por qué una falla de 2024 aparece ahora?

Porque los atacantes no necesitan una falla nueva si hay teléfonos que nunca se actualizaron. La cadena B usa el kit de exploits DarkSword, que según Sekoia habría desarrollado un proveedor comercial de vigilancia y que apareció subido a VirusTotal en septiembre de 2026. La conclusión de la investigación es incómoda: los kits empaquetados de fallas conocidas abaratan este tipo de ataques, y Sekoia espera que su reutilización por grupos estatales sea cada vez más frecuente.

El catálogo de la CISA es una lista de fallas con explotación comprobada, que las agencias federales de Estados Unidos deben priorizar al corregir, según la directiva BOD 26-04 que cita la propia alerta. No obliga a nadie más, pero es una de las señales más claras de que una falla dejó de ser teórica.

¿Me afecta si estoy en América Latina?

Las víctimas que describe Sekoia se concentran en Ucrania y Estados Unidos, y la investigación no menciona sitios ni víctimas de América Latina. Pero el método es el que es: alcanza con entrar a una página contaminada con un teléfono desactualizado. Y en la región hay muchísimos iPhone viejos y Android con el navegador sin tocar hace meses. Mañana el mismo kit puede estar en otro sitio. Por eso la respuesta corta es la de siempre, con una razón concreta más: actualizá.

Fuentes

• CISA, «CISA Adds One Known Exploited Vulnerability to Catalog» (en inglés), 4 de noviembre de 2026.
• Sekoia, «Poisoned Source: APT29 watering holes target mobile devices with n-day exploits» (en inglés), 4 de noviembre de 2026. Campaña, cadenas, vías de infección y atribución.
• Apple, contenido de seguridad de iOS 16.7.8 y de iOS 17.5 (en inglés), 13 de mayo de 2024, y lista de actualizaciones de seguridad de Apple.
• Registro CVE de la CVE-2024-27834 (en inglés), el que enlaza la alerta de la CISA. Las versiones corregidas de la CVE-2025-43529 y la CVE-2026-3910 se leyeron en los registros CVE que publican Apple y Google, respectivamente, en la API de CVE.
• Apple, «Actualiza el iPhone o iPad».
• Créditos de imagen: la portada y el esquema son fotomontajes editoriales asistidos por IA sobre la captura oficial de la pantalla «Actualización de software» que publica Apple en su página de soporte, y el ícono de Sekoia.