Contenido de la actualización de seguridad de iOS 15.8.5 y iPadOS 15.8.5

• Se publicó la actualización de seguridad de iOS 15.8.5 y iPadOS 15.8.5
• Se reportó una vulnerabilidad de corrupción de memoria al procesar archivos de imagen maliciosos
• Existen casos en los que esta vulnerabilidad fue explotada contra objetivos específicos en ataques muy sofisticados
• Apple indicó que resolvió el problema con verificaciones de límites reforzadas
• La vulnerabilidad de seguridad fue registrada y rastreada como CVE-2025-43300

---

Resumen

• Este aviso de seguridad trata el contenido relacionado con seguridad de iOS 15.8.5 y iPadOS 15.8.5
• Apple mantiene una política de no mencionar ni confirmar problemas de seguridad hasta que la investigación y los parches se hayan completado, con el fin de proteger a los clientes
• La lista de lanzamientos de seguridad publicados recientemente puede consultarse en el sitio oficial de Apple

Dispositivos compatibles

• Esta actualización está disponible para iPhone 6s (todos los modelos), iPhone 7 (todos los modelos), iPhone SE (1.ª generación), iPad Air 2, iPad mini (4.ª generación) y iPod touch (7.ª generación)

Principales problemas y detalles de seguridad

• Impacto: al procesar un archivo de imagen manipulado maliciosamente, puede producirse corrupción de memoria
• Apple recibió reportes de que esta vulnerabilidad fue explotada activamente en ataques muy sofisticados dirigidos a personas específicas
• Descripción: se descubrió una vulnerabilidad de out-of-bounds write causada por un manejo incorrecto de los valores límite
• El problema fue corregido mediante verificaciones de límites reforzadas
• La vulnerabilidad está registrada y gestionada como CVE-2025-43300

Otras referencias

• Apple no asume responsabilidad ni ofrece garantías sobre productos que no fabrica, sitios web independientes, ni productos y servicios de terceros
• Para obtener más información sobre productos de terceros, se debe consultar al fabricante

Información adicional

• Los detalles sobre las actualizaciones de seguridad más recientes, el esquema de CVE-ID y la política de seguridad de Apple pueden consultarse en las páginas oficiales correspondientes de Apple

[GN⁺]

Comentarios en Hacker News

• Hay muchas opiniones negativas sobre la UI reciente de Apple, pero sí hay que reconocerles que sigan dando soporte incluso a teléfonos realmente viejos. Con Google Pixel no da la impresión de que puedas esperar algo así lol
  • Los modelos a partir del Pixel 8 tienen 7 años de soporte. Sigue siendo menos que Apple, pero es bastante razonable. Los Pixel 6~7 tenían 5 años de soporte, y eso sí se siente algo corto. Donde de verdad aplica el “lol” sería en modelos anteriores a 2021 o en algunos Motorola
  • Yo uso un Pixel 3XL y, si le instalas una ROM moderna de Android, todavía se puede usar bastante bien. Honestamente, al punto de sentir que es mejor que algunos Android económicos actuales. Lástima que el soporte oficial ya haya terminado
  • Mi Pixel XL funciona bien para navegar de noche. Soy escéptico con esa ansiedad de “ya no habrá más actualizaciones del sistema”. Me gustaría escuchar estudios de caso o experiencias reales de gente que haya usado dispositivos viejos y haya quedado realmente expuesta a problemas o riesgos de seguridad
  • Hace poco le cambié la batería a mi iPhone 12 mini y rinde igual de bien que cuando lo compré. Me va a dar pena el día en que tenga que “actualizarlo” a la fuerza
  • En la UE el soporte de actualizaciones por 5 años ya se volvió un requisito mínimo, así que ahora Apple queda más abajo incluso comparado con Google o Samsung. Antes Apple quizá era mejor, pero hoy otros fabricantes prometen un soporte más fuerte y legalmente más claro que Apple
• No sorprende tanto. Hace años, por trabajo, tuve reuniones con Samsung porque queríamos comprar cientos de teléfonos flagship, y nos dijeron que solo darían 3 años de parches de seguridad. Esto fue por ahí de 2019. En cambio, Apple ni siquiera necesitó una reunión aparte, y estimaban unos 6 años de soporte. Así que, viendo el ROI, para uso corporativo el iPhone duraba más sí o sí. Por eso terminamos comprando solo iPhone por cientos y no adoptamos Android. En lo personal usé Nexus S y Nexus 5, y ambos murieron pronto por falta de actualizaciones, botones dañados, micrófono roto, etc. En un Sony Xperia Z5 quitaron de repente el sensor de huellas por un tema de patentes en Norteamérica, y además el audio por Bluetooth se rompió y ya no mostraba el nombre de las canciones. Todo eso pasó en menos de 3 años. Ya no vuelvo a usar un Sony Android. A ese punto me cansé también de las ROM personalizadas y simplemente me pasé al grupo de “iPhone, it just works”
  • Como referencia, Samsung ahora ofrece 7 años de soporte de SO/seguridad en sus flagship, y 6 años incluso para la serie Galaxy A de entrada y gama media
  • “it just works” es puro eslogan. Si solo usas las funciones que usa la gran mayoría (más del 95%), pues sí, está bien, pero si te sales de eso nunca sabes qué puede pasar y además es difícil arreglar problemas. Es cerrado y limitado. A mí me fue mal con Apple. Los dispositivos Apple que me dieron para trabajo tuvieron poco soporte, fallas de pantalla táctil, problemas de software en apps, baterías defectuosas, función de hotspot a medias y varios dolores de cabeza. En Android no tuve esos problemas. Si una app falla, basta con resetear sus datos, pero en iOS ni siquiera existe esa opción, así que es incómodo. Hoy en día el cliente de correo de un amigo usuario de Apple no funciona ni en iOS ni en macOS. Como el problema se manifiesta distinto según los datos o el SO, probablemente me toque ir y venir entre dos lugares y manejar 90 minutos para verlo en persona. Con Apple hay muy pocas formas de arreglar algo por cuenta propia cuando se rompe, así que para mí es un proveedor con el que no quiero trabajar. Claro, la mayoría de las funciones “funcionan bien”, pero en Android también pasa lo mismo, y así como tuve mala suerte con Sony, también me tocó una mala experiencia con Apple. Y si el problema se pone feo, al menos con Sony uno puede optar por cambiar de SO
• Una gran razón por la que durante mucho tiempo fue difícil dar soporte prolongado en Android es que los proveedores de módems/SoC como Qualcomm solo mantienen drivers y actualizaciones de software por unos pocos años. En los dispositivos anteriores a 2020~2021 casi no hay actualizaciones del kernel driver ni del módem. Claro que el fabricante también tiene que integrar todo eso, pero al final incluso las ROM de terceros (por ejemplo, lineageos) quedan limitadas en su tiempo de soporte. Apple puede dar soporte prolongado con más flexibilidad porque maneja internamente la mayoría de sus componentes y software
  • Lo difícil de aceptar de ese argumento es que una buena parte de las vulnerabilidades de seguridad (CVE) no tienen relación con las partes que controla Broadcom, como el módem o los drivers de banda base. Google todavía podría parchear partes de alto riesgo como bibliotecas o apps. A mí me preocupan más las vulnerabilidades del tipo “parseo de imágenes en mensajes”. En esas te pueden atacar simplemente con hacer clic en una imagen, y me parecen riesgos mucho más realistas que una vulnerabilidad del módem
  • Sí, es cierto, pero al final esa es una limitación fundamental del propio diseño de Android. Creo que es válido criticar Android por eso
  • Pensándolo bien, es absurdo. Todavía hay NIC de hace 20 años con soporte de drivers en el kernel de Linux, así que los drivers de hardware de smartphones deberían publicarse bajo GPL. Los drivers cerrados terminan usándose justamente para acortar artificialmente la vida de los dispositivos
  • Lo que refuta esa excusa tan común es el mecanismo legal llamado “contrato”. Puedes exigir que sigan dando actualizaciones todo el tiempo que quieras después de entregar el proyecto. Yo mismo he hecho este tipo de contratos continuamente en consultoría enterprise
  • Creo que si Google realmente quisiera, podría resolverlo perfectamente con contratos y dinero
• En el aviso de seguridad de Apple dice que “tienen conocimiento de un informe de que este problema pudo haber sido explotado en un ataque sumamente sofisticado contra objetivos específicos”. Me pregunto si el hecho de que estén dando parches de seguridad para versiones pasadas puede tomarse como señal de que la vulnerabilidad es muy grave. También me da curiosidad cuál es el criterio oficial de Apple para el tiempo de soporte de seguridad
  • Eso significa que hubo casos de explotación real en campañas de spyware. La cadena completa de explotación usó una segunda vulnerabilidad del lado de WhatsApp, y esta vulnerabilidad en sí existe en todas las apps que usan el módulo base de procesamiento de imágenes de Apple, pero gracias al sandbox de Apple (BlastDoor en iMessage, sandbox de contenido web en Safari, etc.) es poco probable que se pueda explotar sin fallas adicionales. Pero si WhatsApp mismo es vulnerable, ahí ya cambia la cosa. Desde la perspectiva de un atacante de spyware, WhatsApp es el mejor objetivo posible. Referencia: aviso de seguridad de WhatsApp
  • Algo interesante es que este parche salió antes de la bifurcación de iPadOS, así que el iPad también quedó dentro de los equipos a actualizar. Es una suposición, pero pienso que quizá los objetivos eran dispositivos POS que usan iPads viejos. Cambiar un sistema POS en restaurantes tampoco era algo fácil. Además, muchos proveedores de POS suelen cobrar de más

  • ¿Cuál es el período base de soporte de seguridad de Apple?
    En realidad no se trata de algo que haya quedado fuera de soporte hace muchísimo. La última actualización de seguridad de iOS 15 salió a inicios de este año, y apenas hace unos años que el iPhone 6s dejó de recibir nuevas versiones de iOS a partir de iOS 16. Como alguien que ha usado iPhone por más de 5 años, me resulta muy agradecible que den soporte mucho más tiempo que Android

  • ¿Podría interpretarse este backport (parche de seguridad para versiones viejas) como señal de una vulnerabilidad seria?
    Yo también lo sospecho. Desde la perspectiva del usuario, lo interpreto como un problema serio y fuera de su control, algo tipo zero-click. Claro, no sé cuál sea la postura de Apple, pero pienso lo mismo

  • No hay un período oficial exacto. Si el problema es realmente importante, a veces sacan actualizaciones incluso para cosas bastante antiguas. Por ejemplo, antes publicaron una actualización por vencimiento de Apple CA para terminales Square con iPad, y prácticamente cubría casi todos los dispositivos. Probablemente para decidir el fin de soporte Apple toma en cuenta su telemetría y su modelo de amenazas
• Me parece interesante que Apple publique actualizaciones de seguridad para dispositivos antiguos. Y más aún que esta vez sea algo especial por tratarse de defensa frente a atacantes de nivel estatal (ciberguerra y similares)

  Apple tiene conocimiento de un informe de que este problema pudo haber sido explotado en un ataque extremadamente sofisticado contra objetivos específicos

  • Si existe la posibilidad de un ataque estatal, creo que lo correcto es usar un teléfono nuevo con el SO más reciente. Un teléfono reciente cuesta unos cientos de dólares, así que si de verdad te preocupa ser objetivo de un gobierno, cambiarte fácilmente a un equipo lanzado dentro de los últimos 5 años me parece totalmente justificado
  • En realidad, yo lo veo más como una estrategia para parchear antes de que técnicas complejas de ataque o hacks de nivel estatal se propaguen y terminen convirtiéndose en herramientas más generalizadas, protegiendo así a muchos más usuarios comunes
• Creo que el título del artículo puede prestarse un poco a confusión. Da la impresión de que solo el iPhone 6s recibió la actualización, pero en realidad también pueden actualizarse iPhone 6s/7/SE de 1.ª generación, iPad Air 2, iPad mini de 4.ª generación e iPod touch de 7.ª generación. No es algo que deba presentarse solo como “el iPhone 6s de 10 años”. Por cierto, no pienso actualizar de inmediato mi iPhone 7 ni mi iPad mini de respaldo por si afecta algo relacionado con el jailbreak
  • Supongo que en el artículo mencionaron como ejemplo solo el dispositivo más antiguo. No me parece un gran problema
• En esta situación, cualquiera percibe claramente una vibra muy fuerte de ataque de nivel estatal
  • Yo apostaría a que fue obra de un solo Estado
• Es cierto que Apple da soporte a sus teléfonos durante bastante tiempo. Pero eso de los 10 años solo aplica si compraste el iPhone 6s caro desde el momento en que salió. El iPhone 7 (Plus) siguió vendiéndose hasta 2019 y comparte la misma versión de SO. Viéndolo de manera más estricta, las actualizaciones de SO son como de 3 años y los parches de seguridad unos 6 años
  • Si calculas el período de soporte desde que el fabricante deja de venderlo, algunos dispositivos android hasta podrían dar años de soporte negativos. Y esos 6 años de hecho “todavía” siguen corriendo
• Qué bueno que Apple haya publicado la actualización. Pero si esto permite incluso RCE, me pregunto si eso significa que todavía hay muchísimos iPhone 6s en uso activo y que atacantes maliciosos podrían lanzar ataques masivos
• “iOS 18.6.1 0-click RCE POC”, 50 comentarios, enlace relacionado
  • También vale la pena revisar el aviso de seguridad de WhatsApp, que no recuerdo haber visto mencionado en el hilo anterior. Parece que este exploit está vinculado con el problema de WhatsApp, y que la estructura consiste en cargar datos DNG maliciosos en WhatsApp de forma “zero-click”. No está claro si además involucraba escape del sandbox o una vulnerabilidad del kernel. Puede que se haya limitado al robo de mensajes de WhatsApp. Normalmente, para saltarse la seguridad de iOS hay que encadenar varias vulnerabilidades, pero si la app objetivo en sí tiene una vulnerabilidad de este tipo, el ataque se vuelve mucho más fácil