Los modelos exactos de iPhone afectados por la actualización obligatoria
La lista de modelos afectados es amplia y se divide en dos vías según la versión de iOS que pueda ejecutar cada teléfono. Reciben la actualización iOS 26.2 todos los iPhone 11, 11 Pro y 11 Pro Max, los iPhone SE de segunda y tercera generación —lanzados en 2020 y 2022—, las familias iPhone 12, 13, 14, 15, 16 y 17 en todas sus variantes (mini, Plus, Pro y Pro Max), el iPhone 16e y el iPhone Air. Los tres modelos que se quedaron en la rama anterior del sistema no se libran: los iPhone XS, XS Max y XR tienen disponible iOS 18.7.3, que corrige exactamente los mismos fallos. Fuera de este aviso quedan los iPhone 8, 8 Plus y X, cuyo soporte se detuvo en iOS 16.7.12, y todos los anteriores.
El motivo de la premura son dos vulnerabilidades en WebKit, el motor que usan Safari y el resto de navegadores en iOS. La primera, CVE-2025-43529, es un error de uso de memoria ya liberada (use-after-free) que permite ejecutar código remoto al procesar contenido web malicioso y fue descubierto por el Google Threat Analysis Group; la segunda, CVE-2025-14174, es una corrupción de memoria hallada por Apple junto a ese mismo equipo. La compañía reconoce que ambas pueden haber sido explotadas en «un ataque extremadamente sofisticado» contra personas concretas que usaban versiones anteriores a iOS 26, y la agencia estadounidense CISA las incluyó en su catálogo de fallos con explotación real el 12 y el 15 de diciembre. Es el séptimo cero día que Apple corrige en 2025. Un detalle práctico: en los iPhone 11 y posteriores que sigan en iOS 18, la 18.7.3 solo aparece si se activa el programa beta público; si no, la única vía es saltar a iOS 26.2 desde Ajustes > General > Actualizar software.
Qué fallos de seguridad corrige Apple y por qué se consideran graves
El grueso de las correcciones gira en torno a dos fallos de WebKit, el motor que usan Safari y también Chrome en iOS: CVE-2025-43529 y CVE-2025-14174. El primero es un use-after-free que permite ejecutar código arbitrario al procesar contenido web manipulado; el segundo, un acceso a memoria fuera de límites en el renderizador ANGLE basado en Metal, con una puntuación CVSS de 8,8 sobre 10. Apple los parchó el 12 de diciembre de 2025 en iOS 26.2 e iOS 18.7.3, y la agencia estadounidense CISA los añadió a su catálogo de vulnerabilidades explotadas (KEV) el 12 y el 15 de ese mismo mes. La cadena se completó con CVE-2026-20700, una corrupción de memoria en dyld —el cargador dinámico del sistema— que Apple cerró en iOS 26.3 en febrero de 2026 y que, según la compañía, procede del mismo informe.
Lo que convierte estos parches en urgentes no es su número, sino su estado: los tres se explotaron antes de que existiera solución, en ataques que Apple califica de «extremadamente sofisticados» y dirigidos a personas concretas. En la práctica, abrir una página web maliciosa —o un enlace recibido por mensaje— basta para que el fallo de WebKit ejecute código sin permiso del usuario, y el de dyld permite encadenar la escalada. El resultado posible es la instalación silenciosa de spyware con acceso a mensajes, códigos de verificación, contraseñas y sesiones bancarias. La investigación procede del grupo de análisis de amenazas de Google (TAG), lo que apunta a spyware comercial o a actores estatales, con periodistas, activistas, abogados y cargos públicos como objetivos habituales. Apple cerró nueve fallos de día cero explotados a lo largo de 2025. Para los iPhone XS, XS Max y XR, que no pueden pasar a iOS 26, la rama 18.7.x es su única vía de parcheo.
Qué puede ocurrir si no actualizas: del robo de datos a la ejecución remota de código
El fallo que cierran estas actualizaciones no es un error cosmético: es una escritura fuera de límites en Image I/O, la biblioteca del sistema que abre y procesa archivos de imagen. Un archivo manipulado —una foto recibida por mensajería, un adjunto o una imagen incrustada en una web— puede hacer que el dispositivo escriba datos más allá del espacio de memoria reservado; el resultado es corrupción de memoria y, en el peor escenario, ejecución remota de código, es decir, que un tercero ejecute instrucciones propias dentro del iPhone con los privilegios del sistema. Ahí está la diferencia entre una fuga de información y una entrega del dispositivo. Apple registró el problema como CVE-2025-43300, lo corrigió el 20 de agosto con iOS 18.6.2 y admitió que había sido explotado en un «ataque extremadamente sofisticado» contra personas concretas.
El episodio no se quedó en teoría. Meta confirmó que su fallo CVE-2025-55177, en la sincronización de dispositivos vinculados de WhatsApp, se encadenó con esta vulnerabilidad de Apple en una campaña de spyware activa durante unos 90 días. La combinación permitía un ataque de «clic cero»: la víctima no tenía que pulsar nada, solo recibir el mensaje. Amnesty International siguió los casos y WhatsApp envió avisos a los afectados —menos de 200 en todo el mundo, según la compañía— recomendándoles restablecer el teléfono a valores de fábrica, porque actualizar no siempre elimina un programa espía ya instalado. Los objetivos eran periodistas, activistas y cargos públicos, pero la explotación de este tipo de fallos acaba reutilizándose en ataques más amplios. Quien no actualice mantiene abierta una puerta que ya se ha visto forzar en la vida real.
La versión exacta de iOS que debes instalar y cómo comprobarla en tu iPhone
La versión que Apple pide instalar ahora es **iOS 27.2**. Si tu iPhone sigue en la rama anterior, el parche equivalente es **iOS 26.7.2**: ambas se publicaron el mismo día a finales de octubre de 2026 y corrigen el mismo bloque de vulnerabilidades, así que no sirve quedarse en una intermedia. La lista de fallos reparados es larga y toca piezas sensibles del sistema: WebKit (el motor que usan Safari y todos los navegadores de iOS, porque Apple obliga a usarlo también a Chrome o Firefox), el kernel, CoreAudio, Bluetooth o CoreGraphics. Entre los identificadores destacan el uso después de liberación CVE-2026-113904 y una escritura fuera de límites en CoreGraphics (CVE-2026-86971): procesar una imagen manipulada podía provocar el cierre inesperado de la aplicación, y hay analistas que han señalado ese fallo como potencialmente explotado en ataques dirigidos. El alcance incluye los iPhone 11 y posteriores.
Comprobar qué tienes instalado lleva menos de medio minuto. Abre **Ajustes > General > Actualización de software**: ahí aparece la versión que corre tu equipo y, si hay algo pendiente, el botón para descargar e instalar. Para ver el número exacto y el compilado, entra en **Ajustes > General > Información** y mira el campo «Versión». Si el sistema no ofrece nada y sigues en iOS 26.7.1 o anterior, fuerza una búsqueda manual y revisa que haya Wi-Fi y batería suficiente (o el móvil enchufado); conviene hacer una copia de seguridad antes de actualizar. En esa misma pantalla puedes activar **Actualizaciones automáticas**, con lo que los próximos parches se aplican sin que tengas que estar pendiente. Y ojo: instalar la actualización no basta si el aviso aparece y lo aplazas, porque el dispositivo sigue expuesto hasta que reinicias con la versión nueva.
Los iPhone que se quedan fuera del parche y qué alternativas tienen sus usuarios
El corte no es único: Apple ha dibujado tres escalones y ha dejado a los usuarios del más bajo sin nada que instalar. Desde el 12 de diciembre, cuando llegaron iOS 26.2 e iOS 18.7.3 junto al parche de dos fallos de WebKit (CVE-2025-43529 y CVE-2025-14174) que la compañía admite que se explotaron en ataques «extremadamente sofisticados», la rama 18 solo se sirve a los iPhone XS, XS Max y XR, los tres modelos de 2018 que no pueden ejecutar iOS 26. A partir del iPhone 11, quien quiera el parche tiene que saltar al sistema nuevo, porque el 18.7.3 no aparece en Ajustes. Y por debajo queda el limbo: iPhone 5s, 6, 6 Plus, 6s, 7, 8 y X, además del SE de primera generación, siguen recibiendo mantenimiento (iOS 12.5.8, 15.8.6 y 16.7.13), pero son actualizaciones que renuevan un certificado para que iMessage, FaceTime y el inicio de sesión con la cuenta de Apple no caduquen en enero de 2027. No tapan ni una vulnerabilidad. Del iOS 17, directamente, no hay parche equivalente.
Para esos usuarios no existe un botón que resolver el problema, así que la alternativa consiste en decidir qué se hace con el teléfono. Los XS, XS Max y XR tienen al menos un último escalón: el 18.7.4 de finales de enero, que también es solo mantenimiento, sin correcciones de seguridad, y que incluso llegó a retirarse unos días por un fallo de llamadas de emergencia detectado en Australia. A partir del iPhone 11, la vía es actualizar a iOS 26.2.1. Para los modelos atascados en iOS 12, 15 o 16 la salida realista es dejar de usarlos como móvil principal: valen como reproductor, despertador o equipo de mensajería, pero su Safari —el motor WebKit de todo el sistema— ya no recibe arreglos, y los desarrolladores abandonan esas versiones uno o dos años después de que lo haga Apple. En hardware, el iPhone XS entró en la lista *vintage* en junio de 2025: solo se repara mientras queden piezas y en unos dos años pasará a obsoleto. La alternativa de comprar usado se estrecha: el reglamento europeo de ecodiseño, vigente desde junio de 2025, exige cinco años de actualizaciones, pero no rescata a los equipos ya vendidos.
La entrada Si tienes uno de estos modelos de iPhone, Apple exige actualizar ahora mismo ya para evitar fallos de seguridad aparece primero en Moncloa.
