Parche rápido sin reinicio: Apple corrige vulnerabilidad crítica de WebKit en segundo plano (CVE-2026-20643)

Apple ha comenzado a utilizar una nueva vía para parchear vulnerabilidades críticas sin obligar a los usuarios a instalar una actualización completa del sistema. Esta primera entrega de correcciones vía Background Security Improvements soluciona una falla en WebKit registrada como CVE-2026-20643, que permitía a contenido web malicioso sortear las restricciones entre orígenes y, en determinadas condiciones, acceder a recursos que deberían permanecer aislados.

En términos sencillos, los navegadores y motores web aplican la llamada Same Origin Policy para evitar que una página en un dominio lea datos de otra en distinto dominio. Cuando esa barrera se ve comprometida, se abren vectores para robo de información, secuestro de sesiones o acciones no autorizadas por parte de scripts cargados desde sitios maliciosos. Si quieres profundizar en cómo funciona esa política de seguridad, la documentación técnica de Mozilla ofrece una explicación clara en lenguaje accesible: Same Origin Policy (MDN).

Según Apple, el problema estaba ligado a la interacción entre orígenes en la API de navegación de su motor WebKit y ha sido resuelto mejorando la validación de las entradas que procesa esa API. El aviso oficial de Apple describe el arreglo y confirma que la vulnerabilidad fue reportada por el investigador Thomas Espach. Las correcciones ya están disponibles como actualizaciones de fondo en dispositivos con iOS 26.3.1, iPadOS 26.3.1 y en versiones de macOS 26.3.1 y 26.3.2.

Lo novedoso aquí no es solo el parche, sino el canal de distribución: Background Security Improvements permite a Apple aplicar parches pequeños y focalizados en componentes como Safari y la pila de WebKit sin forzar una instalación completa del sistema operativo ni un reinicio inmediato. La compañía explicó este mecanismo como una forma de ofrecer respuestas rápidas entre ciclos de actualizaciones mayores; si quieres leer la explicación oficial sobre cómo funciona esta característica, Apple la detalla en su página de soporte: Background Security Improvements (Apple).

Desde la perspectiva del usuario, activar o comprobar estas actualizaciones es sencillo: en iPhone y iPad se accede a Ajustes y luego a Privacidad y seguridad; en Mac es desde el menú Apple > Ajustes del Sistema > Privacidad y seguridad. Apple advierte, además, que si se desinstala una actualización de Background Security Improvements se retrocede al estado base del sistema y se pierden todos los parches incrementales aplicados en segundo plano, con lo que el dispositivo quedaría sin las protecciones rápidas hasta que dichos arreglos vuelvan a aplicarse o se incluyan en una actualización mayor.

Esto implica una recomendación práctica: salvo que una actualización de fondo genere problemas claros de compatibilidad en tu equipo, no es buena idea desinstalarla, porque con ella se mantienen mitigadas fallas que podrían explotarse desde páginas web manipuladas o maliciosas. Históricamente, las correcciones críticas obligaban a instalar una nueva versión completa del sistema y reiniciar —un proceso más pesado—, pero con esta funcionalidad Apple puede reaccionar con mayor agilidad ante amenazas detectadas con poca antelación.

Para quien quiera más contexto técnico sobre WebKit y por qué estas correcciones importan, la página oficial del proyecto explica su arquitectura y funciones: WebKit.org. También es posible consultar la ficha pública del CVE en el catálogo de vulnerabilidades para ver el estado y las referencias cruzadas: CVE-2026-20643 (NVD).

En definitiva, la noticia es positiva desde el punto de vista de la seguridad: la combinación del descubrimiento responsable por parte de un investigador y la capacidad de Apple para desplegar parches discretos reduce la ventana de exposición de millones de dispositivos. Como siempre en seguridad, lo recomendable es mantener los equipos actualizados, revisar la sección de Privacidad y seguridad para confirmar que las actualizaciones de fondo están activas y, ante cualquier comportamiento extraño tras un parche, ponerse en contacto con soporte o consultar la documentación oficial.