Apple CoreGraphics PoC Emerges as WhatsApp PDF Checks Hint at Possible Delivery Path
The Hacker News · 1 oct, 07:54
Qué hacer: Actualiza iOS a 26.7.1 o posterior y macOS a Golden Gate 26.7.1 o posterior.
Apple ha parcheado CVE-2026-86950, una falla crítica en CoreGraphics que afectaba a iPhone y Mac, tras detectarse su uso en ataques dirigidos contra individuos específicos. Investigadores de Calif publicaron el primer proof-of-concept el 30 de septiembre que demuestra cómo un PDF malicioso con fuentes TrueType manipuladas provoca un desbordamiento de búfer, y la agencia CISA la incluyó en su catálogo de vulnerabilidades explotadas activamente, requiriendo que agencias federales la parcheen antes del 2 de octubre.
CoreGraphics es el marco de Apple para procesamiento de PDF y renderizado 2D. La falla radica en cómo dos de ocho funciones manejan valores fuera de rango de coordenadas de glifos: una usa saturación mientras que la otra trunca, provocando que el cuadro delimitador calculado sea demasiado estrecho. Esto causa que CoreGraphics asigne un búfer de trabajo más pequeño del necesario, permitiendo escritura fuera de los límites.
Los investigadores de Calif construyeron una fuente TrueType con coordenadas lo suficientemente grandes para forzar el desbordamiento, incrustándola en un PDF con matriz de texto y escalado de glifos compuestos. El crash ocurre en la ruta de vista previa de ImageIO que usan las aplicaciones, afectando a iOS 26 y versiones anteriores. Aunque la falla se explota como escritura fuera de límites controlada en el heap o stack, convertirla en ejecución de código requiere trabajo adicional que los investigadores no demostraron. Meta Product Security descubrió la falla y Apple la parcheó el 28 de septiembre.
Puntos clave
- Afecta a iOS 26 y anteriores, macOS Golden Gate 26 y anteriores; parcheado en iOS 26.7.1 y macOS 26.7.1
- Exploitable mediante PDF malicioso sin interacción del usuario directo; CISA requiere parche antes del 2 de octubre
- PoC público disponible en GitHub con scripts de generación de fuente y PDF de prueba
- No confirma ejecución de código ni disponibilidad de exploit completo; investigación de Calif sugiere posible vector a través de WhatsApp sin confirmar