iOS 27.2.1 y macOS 27.2.1 ya están disponibles para descargar y vienen a tapar agujeros concretos: nueve vulnerabilidades en el iPhone y ocho en el Mac, casi todas ligadas a iMessage, a AirPlay y a Bluetooth. Apple publicó el detalle completo en sus páginas de seguridad este lunes 9 de noviembre, y en ninguna entrada declara que los fallos se estén explotando en ataques reales. Aun así, la recomendación práctica es actualizar de una vez.
La nota oficial que acompaña la descarga ocupa una sola línea: correcciones de errores y actualizaciones de seguridad, sin funciones nuevas. El paquete llega dos semanas después de iOS 27.2, la versión que llevó el Siri Remote a la app Encontrar y que amplió los idiomas de Siri AI. Esta vez el trabajo es de fontanería: cerrar puertas que quedaron entreabiertas.
iMessage y Bluetooth concentran las correcciones del iPhone
El fallo más delicado mira a los chats grupales de iMessage. Un atacante remoto podía sumarse a un grupo sin invitación y recibir sus mensajes (CVE-2026-113961), y quien entraba a un grupo podía leer la conversación enviada antes de su llegada (CVE-2026-113960). Los dos casos llegaron a Apple por investigadores anónimos y se cierran con validaciones reforzadas y con la retirada del código vulnerable.
El otro frente es la cercanía física. Un dispositivo Bluetooth malicioso podía emparejarse con el iPhone sin que el dueño tocara nada (CVE-2026-113965), y otro error dejaba saltarse el límite de intentos del código de emparejamiento y completar el enlace sin interacción del usuario (CVE-2026-113964). Ese límite existe para frenar los ataques de fuerza bruta contra el código de cuatro o seis cifras: sin tope de intentos, un equipo cercano puede probar combinaciones hasta dar con la buena.
Dos fallos más recortan el mismo riesgo por otras esquinas. Uno quedaba al alcance de un atacante dentro del radio de Bluetooth (CVE-2026-113968) y otro frente a un atacante conectado a la misma red local, con los códigos de emparejamiento de AirPlay en el centro (CVE-2026-113969). En la práctica, el escenario que dibujan es el de siempre: aeropuertos, transporte público, oficinas compartidas, sitios donde un teléfono pasa horas rodeado de aparatos ajenos.
La lista se completa con tres correcciones de fondo. Un atacante al alcance de Bluetooth podía corromper la memoria de un proceso por un problema de uso de memoria ya liberada (CVE-2026-113970); procesar una entrada creada con mala intención podía terminar en corrupción de memoria por una escritura fuera de límites (CVE-2026-111497); y una aplicación instalada podía llegar a datos sensibles del usuario por un fallo de autorización (CVE-2026-113963), reportado por László Várady.
De los nueve fallos del iPhone, cuatro los firma la propia Apple: salieron de su revisión interna.
El Mac repite ocho parches y cierra el agujero de eMudhra
macOS Golden Gate 27.2.1 corrige ocho de los nueve fallos del iPhone: los dos de iMessage, los cuatro del emparejamiento por Bluetooth y AirPlay y los dos de corrupción de memoria. El único que se queda fuera es el de la aplicación con acceso a datos sensibles, exclusivo de iOS y de iPadOS. La repetición tiene explicación: los sistemas de la casa comparten buena parte del código, y un agujero abierto en un lado suele existir en el otro.
El Mac suma una protección que no aparece en la tabla de CVE. MacRumors contó que la actualización cierra el problema de los certificados de la autoridad eMudhra, cuyos certificados nacieron con claves privadas demasiado cortas, por debajo de 256, y recuperables por cualquiera con interés en buscarlas. Con esas claves en la mano, un atacante puede fabricar certificados falsos que parecen válidos para cualquier sitio web.
Apple bloqueó esos certificados en octubre dentro de Safari, Mail y las aplicaciones que usan sus marcos de trabajo, pero herramientas de línea de comandos como curl y git los seguían aceptando. Con la 27.2.1, ese hueco queda cerrado.
Quien sigue en macOS 26 o en macOS 15 recibe el mismo cierre por otra puerta: Apple liberó macOS Tahoe 26.7.3 y macOS Sequoia 15.8.3 con la protección incluida. Y la ronda del lunes fue completa dentro de la casa: iPadOS, watchOS, tvOS y visionOS estrenaron su versión 27.2.1, con las versiones 26.7.3 y 18.7.12 para los iPhone y los iPad que se quedaron en ramas anteriores del sistema.
La 27.2.1 corre en el iPhone 11 en adelante y en los iPad que Apple detalla en su página de seguridad; en el Mac exige un equipo con macOS Golden Gate, la generación construida sobre Apple silicon.
La instalación pasa por Ajustes, General y Actualización de software en el iPhone, y por Ajustes del Sistema en el Mac. El dato que manda es simple: Apple no habla de explotación activa, pero ya publicó el mapa completo de cada fallo, y ese mapa lo lee todo el mundo, también el que anda buscando un teléfono sin parchar.
