«Con actualizar se arregla»… esta vez no necesariamente.
El 8 de noviembre, el investigador forcequitOS hizo público un worse_query de escape del sandbox de iOS.
En iOS 26.0 a 26.7.2, y también en 27.2, una app puede acceder a las carpetas de datos de otras apps.
El propio autor lo recalcó en negrita: no es un jailbreak ni lo será nunca.
El 10 de noviembre, Binance ($BNB ) publicó una advertencia: iOS 26.7.1, 27.0.1 y 27.2 están afectados.
Si guardas frases de recuperación de la wallet o claves privadas como texto sin cifrar en el teléfono, una app maliciosa instalada podría leerlas.
Pero que quede claro: la vulnerabilidad no roba dinero por sí sola.
Para que actúe, primero tienes que instalar una app de origen dudoso.
Y solo puede leer datos guardados como texto sin cifrar.
Lo importante viene ahora: el 9 de noviembre, Apple lanzó las versiones 27.2.1 y 26.7.3.
En las notas de seguridad de ambas versiones no se menciona worse_query.
Apple no ha confirmado si lo solucionó.
Ya hay quien lo ha usado para crear WQ Files, un gestor de archivos publicado el 9 de noviembre: esto ya no es un PoC meramente teórico.
Hoy puedes hacer tres cosas:
Elimina todos los IPA instalados mediante sideloading o firmados manualmente.
Actualiza iOS y todas tus apps a las últimas versiones oficiales.
Si sospechas que te han comprometido, usa otro dispositivo limpio para crear una wallet nueva y transferir los fondos; después, restablece las sesiones iniciadas.
Hasta ahora, ni Binance ni el investigador han informado de ningún caso de pérdida de fondos por esta vulnerabilidad.
No haber perdido fondos es cuestión de suerte, no de habilidad.
#VulnerabilidadDeiOS
El 8 de noviembre, el investigador forcequitOS hizo público un worse_query de escape del sandbox de iOS.
En iOS 26.0 a 26.7.2, y también en 27.2, una app puede acceder a las carpetas de datos de otras apps.
El propio autor lo recalcó en negrita: no es un jailbreak ni lo será nunca.
El 10 de noviembre, Binance ($BNB ) publicó una advertencia: iOS 26.7.1, 27.0.1 y 27.2 están afectados.
Si guardas frases de recuperación de la wallet o claves privadas como texto sin cifrar en el teléfono, una app maliciosa instalada podría leerlas.
Pero que quede claro: la vulnerabilidad no roba dinero por sí sola.
Para que actúe, primero tienes que instalar una app de origen dudoso.
Y solo puede leer datos guardados como texto sin cifrar.
Lo importante viene ahora: el 9 de noviembre, Apple lanzó las versiones 27.2.1 y 26.7.3.
En las notas de seguridad de ambas versiones no se menciona worse_query.
Apple no ha confirmado si lo solucionó.
Ya hay quien lo ha usado para crear WQ Files, un gestor de archivos publicado el 9 de noviembre: esto ya no es un PoC meramente teórico.
Hoy puedes hacer tres cosas:
Elimina todos los IPA instalados mediante sideloading o firmados manualmente.
Actualiza iOS y todas tus apps a las últimas versiones oficiales.
Si sospechas que te han comprometido, usa otro dispositivo limpio para crear una wallet nueva y transferir los fondos; después, restablece las sesiones iniciadas.
Hasta ahora, ni Binance ni el investigador han informado de ningún caso de pérdida de fondos por esta vulnerabilidad.
No haber perdido fondos es cuestión de suerte, no de habilidad.
#VulnerabilidadDeiOS
