Apple ha impulsado otra actualización a sus sistemas operativos móviles, iOS e iPados, para abordar un día cero recientemente descubierto que ya está siendo explotado por los actores de amenaza en la naturaleza para permitir los llamados ataques con clic cero. Rastreado como CVE-2025-43300, la falla es un problema de escritura fuera de los límites en el marco ImageIO, que se utiliza para permitir que las aplicaciones lean y escriban la mayoría de los formatos de archivo de imagen. Si se explota con éxito, procesar un archivo de imagen de forma maliciosa resulta en la corrupción de la memoria en el dispositivo de destino. «Apple es consciente de un informe de que este problema puede haber sido explotado en un ataque extremadamente sofisticado contra individuos específicos específicos», dijo Apple en su asesoramiento habitualmente escaso. La actualización, que lleva a iOS e iPados a la versión 18.6.2, aborda este problema con la verificación mejorada de límites. Adam Boynton, gerente de estrategia de seguridad senior de EMEIA en JAMF, un especialista en gestión de dispositivos de Apple, explicó que los actores de amenaza podrían utilizar la falla para comprometer el dispositivo y permitir la ejecución de código malicioso. En estos ataques con clic cero, las cargas útiles maliciosas generalmente se entregan a través de canales como mensajes de texto, correo electrónico o aplicaciones de mensajería. Estas cargas útiles contienen paquetes de datos diseñados para activar la vulnerabilidad automáticamente, sin que se produzca ninguna interacción del usuario, de ahí el término clic cero. Esta metodología sigilosa significa que los clics cero son complicados para que los defensores empresariales se enfrenten, sobre todo porque son difíciles de detectar y pasar por alto la capacitación del usuario final, pero también porque a menudo dejan muy poco en términos de evidencia forense y pueden operar sin activar ninguna alerta de seguridad. También se ha demostrado que los ataques con clic cero son altamente efectivos contra los objetivos de alto valor dentro de las empresas, y además para ciertas categorías de organizaciones e individuos en riesgo de desplazamiento cibernético objetivo, como organizaciones no gubernamentales (ONG), periodistas y medios de comunicación, y activistas y políticos. «Apple ha indicado que esta vulnerabilidad ha sido explotada en ataques sofisticados y específicos, que generalmente se centran en personas con acceso o contactos altamente valorados, como periodistas, abogados, activistas y funcionarios gubernamentales», dijo Boynton. «Si bien Apple no ha confirmado si esta falla específica estaba vinculada al spyware, vulnerabilidades similares en Imageio y WebKit se han utilizado previamente en campañas de Pegasus». Mitigando los ataques de clic cero a Sylvain Cortes, vicepresidente de estrategia de Hackuity, una plataforma de gestión de vulnerabilidad, dijo: «Con la vulnerabilidad explotada activamente, todos deben verificar sus iPhones de inmediato. Las organizaciones que manejan los dispositivos Apple deben poder identificar y actualizar todos los dispositivos afectados de inmediato, especialmente si operan en los campos en el riesgo como los legales, medios de comunicación y los sectores públicos». «. Al responder a las vulnerabilidades de clic cero, los profesionales de la seguridad pueden ayudar a cambiar las probabilidades a su favor no solo al parchear agresivamente contra ellas, sino también manteniendo la actualización de la inteligencia de amenazas, la implementación de las estrategias de defensa en profundidad con protecciones de seguridad de seguridad e introducción de tecnologías como la micro segmentación, la detección de puntos finales y las herramientas (EDR) (EDR) y la gestión de dispositivos móviles (MDM). Mientras tanto, los usuarios individuales de Apple pueden verificar si sus iPhones o iPads están ejecutando la versión actualizada 18.6.2 navegando a Configuración, General y Actualización de software en sus dispositivos. La actualización de la versión 18.6.2 probablemente estará entre los lanzamientos finales que tendrán lugar antes de la presentación anticipada de iOS 26, que todavía parece estar en camino a mediados de septiembre. Esto acompañará el lanzamiento del iPhone 17.