Apple ha lanzado actualizaciones de seguridad para solucionar una vulnerabilidad que afecta a iOS, iPadOS y macOS y que, según la empresa, está siendo explotada activamente en el mundo real.
La vulnerabilidad de escritura fuera de límites zero-day, identificada como CVE-2025-43300, se encuentra en el marco ImageIO y podría provocar la corrupción de la memoria al procesar una imagen maliciosa.
"Apple tiene conocimiento de un informe que indica que este problema podría haber sido explotado en un ataque extremadamente sofisticado contra personas específicas", afirmó la empresa en un comunicado.
El fabricante del iPhone afirmó que el error se descubrió internamente y que se solucionó con una mejora en la comprobación de límites. Las siguientes versiones solucionan el defecto de seguridad:
iOS 18.6.2 y iPadOS 18.6.2: iPhone XS y posteriores, iPad Pro de 13 pulgadas, iPad Pro de 12,9 pulgadas de tercera generación y posteriores, iPad Pro de 11 pulgadas de primera generación y posteriores, iPad Air de tercera generación y posteriores, iPad de séptima generación y posteriores, y iPad mini de quinta generación y posteriores:
- iPadOS 17.7.10: iPad Pro de 12,9 pulgadas de segunda generación, iPad Pro de 10,5 pulgadas y iPad de sexta generación.
- macOS Ventura 13.7.8: Mac con macOS Ventura.
- macOS Sonoma 14.7.8: Mac con macOS Sonoma.
- macOS Sequoia 15.6.1: Mac con macOS Sequoia.
Por el momento se desconoce quién está detrás de los ataques y quiénes han sido los objetivos, pero es probable que la vulnerabilidad se haya utilizado como arma en ataques muy específicos.
Con la última actualización, Apple ha corregido hasta ahora un total de siete vulnerabilidades de día cero que se han aprovechado en ataques reales desde principios de año: CVE-2025-24085, CVE-2025-24200, CVE-2025-24201, CVE-2025-31200, CVE-2025-31201 y CVE-2025-43200.
El mes pasado, la empresa también publicó parches para una vulnerabilidad de Safari que residía en un componente de código abierto (CVE-2025-6558) que, según informó Google, había sido explotada como un zero-day en el navegador web Chrome.
Fuente: thehackernews