Apple lanza parche de emergencia para iPhone y iPad por fallo en notificaciones que podría mantener mensajes eliminados (CVE-2026-28950)

Apple lanzó una corrección urgente para iPhone y iPad destinada a cerrar una grieta en el sistema de notificaciones que, según la compañía, podía provocar que avisos que el usuario había eliminado siguieran guardados en el dispositivo. La solución llegó fuera del ciclo habitual de actualizaciones y afecta a dispositivos con versiones publicadas el 22 de abril de 2026: las ramas iOS 26.4.2 / iPadOS 26.4.2 y también a las series 18.7.8 de iOS y iPadOS. El fallo ya tiene asignado el identificador CVE-2026-28950.

En su comunicado técnico Apple explica de forma concisa que “las notificaciones marcadas para eliminación podrían permanecer inesperadamente en el dispositivo” y que la vulnerabilidad fue mitigada mediante una mejora en los procesos de redacción de datos, pero no dio detalles adicionales sobre la naturaleza exacta del problema ni sobre cuánto tiempo esos datos podían persistir ni cómo podrían recuperarse. Puede leerse el aviso oficial en la página de soporte de Apple: support.apple.com/en-us/127002.

Que Apple haya publicado este parche fuera del calendario habitual plantea preguntas que la compañía no ha respondido: no se sabe públicamente si la falla fue aprovechada en ataques reales, ni qué criterios se siguieron para clasificar la corrección como emergencia. En estas situaciones, las empresas suelen limitar la información técnica disponible para evitar que actores maliciosos repliquen los métodos antes de que la mayoría de los usuarios actualice sus dispositivos.

El contexto informativo que ha alimentado la atención sobre esta clase de problemas proviene de reportes periodísticos y de documentos judiciales. Un reportaje de 404 Media describió cómo agentes del FBI lograron extraer copias de mensajes de Signal desde el teléfono de un sospechoso aunque esos mensajes ya hubieran sido borrados en la propia aplicación. Según las notas de juicio publicadas por simpatizantes de los acusados, los datos recuperados no procedían del almacén cifrado de conversaciones de Signal sino del sistema interno de notificaciones del iPhone; esas notas se pueden consultar en el resumen del día de juicio: prairielanddefendants.com — notas del juicio y el reportaje de 404 Media está aquí: 404media.co — artículo sobre recuperación de mensajes.

De acuerdo con esos documentos, incluso después de desinstalar Signal, las notificaciones entrantes podrían haberse conservado en una base de datos interna del sistema operativo, lo que facilitó su recuperación por parte de peritos forenses. La descripción del problema en el aviso de Apple —notificaciones eliminadas que se conservan— encaja con este tipo de persistencia de datos, aunque la compañía no ha referenciado explícitamente el caso tratado por la prensa.

Cuando Apple habla de “mejoras en la redacción de datos” se refiere a técnicas que eliminan o sustituyen información sensible antes de que quede almacenada de forma que pueda leerse posteriormente. En términos sencillos, la redacción intenta que, si una notificación contiene contenido sensible y el usuario la borra, ese contenido no quede disponible en ningún índice o caché que permita su recuperación. Sin embargo, sin más detalles técnicos no es posible saber si el problema era un fallo en la eliminación, un rebote en cachés del sistema, o una combinación de factores.

Para la mayoría de los usuarios lo práctico es sencillo: instalar las actualizaciones que Apple distribuyó tan pronto como sea posible. Actualizar reduce el riesgo de que información que ya se creía borrada permanezca accesible. Apple publica instrucciones oficiales sobre cómo mantener iPhone y iPad al día en esta página: support.apple.com — cómo actualizar.

Si usas aplicaciones de mensajería que muestran contenido en las notificaciones y quieres minimizar la posibilidad de que ese contenido quede almacenado en el sistema, puedes modificar las opciones de notificaciones de cada app. En Signal, por ejemplo, existe la opción de ocultar el contenido del mensaje en las notificaciones; cambiando la visualización a “solo nombre” o a “sin nombre ni contenido” reduces la información que podría quedar registrada en las notificaciones del sistema. La propia Signal ofrece guías sobre sus ajustes de notificaciones en su centro de ayuda: support.signal.org — Notificaciones.

Este episodio recuerda que la privacidad de los mensajes no depende únicamente del cifrado de la aplicación. Hay capas alrededor de las apps —el sistema operativo, las copias de seguridad, las notificaciones y el propio hardware— que pueden conservar rastros de actividad si no se gestionan correctamente o si existen errores en su manejo. Por eso, además de confiar en el cifrado de extremo a extremo, conviene revisar los permisos, las configuraciones de notificación y mantener el sistema operativo actualizado.

Algunos expertos en seguridad recomiendan medidas adicionales para usuarios con necesidades de alta privacidad: limitar las notificaciones a no mostrar contenido sensible, cifrar o desactivar copias de seguridad en la nube cuando sea apropiado, y considerar el borrado seguro de dispositivos antes de su transferencia o entrega. No son soluciones universales, pero ayudan a reducir la superficie de exposición cuando surgen fallos inesperados.

Medios especializados solicitaron aclaraciones a Apple acerca del parche y de por qué se lanzó de forma urgente; según indicaron esas fuentes, la empresa no había ofrecido respuesta pública sobre preguntas concretas relacionadas con explotación o detalles técnicos. Información adicional y seguimientos suelen aparecer en reportes de investigadores forenses y outlets tecnológicos conforme se examinan los parches y los sistemas afectados.

En definitiva, la corrección publicada por Apple pone de manifiesto una lección recurrente: las capas auxiliares que acompañan a las aplicaciones (como el almacenamiento de notificaciones) pueden convertirse en vectores de exposición si no se gestionan correctamente. La acción más inmediata para cualquier usuario es actualizar a las versiones que corrigen CVE-2026-28950 y, si maneja información sensible, ajustar las notificaciones de las apps para mostrar menos contenido por defecto.