Una vulnerabilidad sin parchear en iOS permite que una app maliciosa lea los archivos locales de otras apps instaladas en el mismo iPhone. La advertencia la lanzó Binance el 10 de noviembre y apunta a un fallo a nivel del sistema operativo, no a una app en particular: afecta a iOS 26.7.1, 27.0.1 y 27.2, y las actualizaciones que Apple publicó el 9 de noviembre no lo corrigen, según los propios investigadores que lo divulgaron.
El hallazgo, bautizado como worse_query, es un escape del sandbox: la barrera que en iOS aísla a cada aplicación para que no pueda acceder a los datos de las demás. Cuando esa barrera se rompe, una app con malas intenciones puede leer archivos que pertenecen a otras apps, incluidas las frases semilla y las claves privadas de las billeteras de criptomonedas, además de credenciales de inicio de sesión. Es, en la práctica, una de las protecciones centrales del iPhone puesta en entredicho.
Qué es worse_query y por qué es tan grave
Los investigadores que lo divulgaron, conocidos como forcequit y 0xjohnny, publicaron en GitHub el código de prueba del escape, que describen como una prueba de concepto para desarrolladores. Según The Hacker News, ese código puede alcanzar todos los contenedores de datos de las apps de un iPhone, e incluso algunas carpetas del sistema en iOS 27. El propio repositorio, forcequitOS/worse_query, lo define como «un escape del sandbox para iOS 26.0 – 26.7.2 / 27.2» y aclara que «es una prueba de concepto para desarrolladores y no es útil por sí misma».
El problema es que otros desarrolladores ya construyeron herramientas sobre ese código. La más conocida es WQ Files, un administrador de archivos creado por Christoph Kolbicz que accede a los datos de otras apps sin necesidad de jailbreak y se instala mediante herramientas de sideloading como AltStore y SideStore. Es decir: el exploit ya no vive solo en un repositorio de GitHub, sino en apps que cualquier usuario podría instalar fuera de la App Store.
Para los usuarios de criptomonedas el riesgo es inmediato, porque las frases semilla y las claves privadas son justo el tipo de datos que guarda una billetera en el almacenamiento local del teléfono. Pero el alcance es mayor: cualquier app que guarde información sensible en archivos locales —mensajes, sesiones, documentos— queda expuesta si el usuario instala una app maliciosa que aproveche el fallo. Por eso Binance insistió en que se trata de un problema de iOS en su conjunto, no de su aplicación. La advertencia llega además semanas después de que Binance sufriera un robo de 6,300 millones de dólares en criptomonedas, aunque AppleInsider subraya que el aviso no parece relacionado con ese ataque.
Las versiones afectadas y el parche que no llegó
La advertencia de Binance menciona tres versiones concretas:
- iOS 26.7.1
- iOS 27.0.1
- iOS 27.2
El investigador, sin embargo, da un rango más amplio en el repositorio: el escape funciona en iOS 26.0 a 26.7.2 y en 27.2. Apple publicó el 9 de noviembre las actualizaciones iOS 27.2.1 y iOS 26.7.3, pero sus informes oficiales de seguridad no mencionan worse_query ni ningún problema relacionado con el sandbox. El contenido de seguridad de iOS 27.2.1 lista correcciones en AirPlay, App Intents, Bluetooth, brotli, CoreUtils, Mensajes y rapportd, mientras que el contenido de seguridad de iOS 26.7.3 cubre AirPlay, Bluetooth, brotli, CoreUtils, Mensajes y rapportd. Ninguno de los dos describe un escape del sandbox ni la lectura de archivos de otras apps.
En publicaciones posteriores, forcequit afirmó que worse_query tampoco se corrigió en iOS 27.2.1 ni en la primera beta para desarrolladores de iOS 27.3, publicada el 3 de noviembre, antes de que se divulgara el exploit. De las herramientas construidas sobre el fallo, solo los desarrolladores de Erosion listan iOS 27.2.1 como versión compatible. Apple, por su parte, no confirma ni comenta problemas de seguridad hasta haberlos investigado y tener un parche disponible, según recuerda The Hacker News.
Una divulgación polémica
La forma en que se dio a conocer el fallo también generó debate en la comunidad de ciberseguridad. Forcequit y 0xjohnny lo divulgaron el domingo 8 de noviembre, después de haberlo reportado a Apple unos 30 días antes. En sus conversaciones en X, forcequit compartió una captura del 10 de octubre en la que Apple le comunicaba que revisaría pronto el informe; aunque la revisión suele tomar unos 7 días, Apple le indicó que en este caso tomaría «un poco más». El investigador consideró que Apple estaba demorando el proceso y señaló que no le importaba perder la posible recompensa por el hallazgo.
Como recuerda AppleInsider, lo habitual en la industria es dar a los fabricantes un plazo de gracia antes de divulgar una vulnerabilidad: Google Project Zero, por ejemplo, contempla un plazo de gracia de 90 días. En los comentarios del artículo, parte de la comunidad defiende la divulgación tras más de 30 días sin parche, mientras otros cuestionan que se divulgara tan pronto, por el riesgo de exponer a los usuarios antes de que exista un parche. Lo cierto es que, con la advertencia de Binance, millones de usuarios ya saben del riesgo, pero siguen sin una actualización que lo elimine.
Qué hacer para protegerte
Mientras Apple no publique un parche, la recomendación es reducir al mínimo la superficie de ataque. Binance publicó estas medidas inmediatas:
- Eliminar las apps instaladas desde fuentes no confiables, como las instaladas por sideloading o archivos IPA firmados manualmente.
- Actualizar iOS y todas las apps a las versiones oficiales más recientes, aunque estas actualizaciones aún no corrijan worse_query.
- Si sospechas una filtración, transferir los fondos a una billetera nueva creada en un dispositivo limpio y restablecer todas las sesiones activas.
- No instalar paquetes no autorizados y mantener el software actualizado.
En resumen: la única defensa real, por ahora, es no instalar apps fuera de la App Store y revisar qué aplicaciones tienes instaladas en tu iPhone. Un exploit de este tipo no necesita engañarte con un enlace ni robarte la contraseña: basta con que una app maliciosa llegue a tu teléfono para que pueda leer lo que guardan las demás. Estaremos atentos a la actualización de Apple que corrija worse_query y a cualquier confirmación oficial sobre el alcance del fallo.
Para más noticias de tecnología, cultura geek, gadgets y entretenimiento, visita: GeekAndLife.com.mx. Descubre más contenido en nuestras redes: Instagram | YouTube | TikTok
Fuente: AppleInsider