iOS 15.8.7: Apple parchea el exploit Coruna en iPhone 6s

Qué es el exploit Coruna y por qué importa ahora

Apple lanzó el 11 de marzo de 2026 las actualizaciones iOS 15.8.7 e iPadOS 15.8.7 para parchear las vulnerabilidades asociadas al kit de exploits Coruna, una amenaza de nivel nación-estado documentada públicamente por primera vez en marzo de 2026 por el equipo de Google Threat Intelligence Group (GTIG) y la firma de seguridad iVerify. Lo que comenzó como una herramienta de espionaje sofisticada terminó siendo utilizada también en campañas de robo de criptomonedas, poniendo en jaque a miles de dispositivos Apple en todo el mundo.

Si eres founder o diriges un equipo tech, esto no es solo una noticia de seguridad: es un recordatorio de que los dispositivos móviles —incluso los más viejos que aún circulan en tu equipo— pueden convertirse en el eslabón débil de toda tu operación.

Cómo funciona el exploit Coruna técnicamente

Coruna es un kit de exploits basado en JavaScript que encadena 23 vulnerabilidades en cinco cadenas de ataque completas. Su objetivo: dispositivos con iOS 13.0 hasta iOS 17.2.1, es decir, un rango que abarca desde septiembre de 2019 hasta diciembre de 2023.

👥 ¿Quieres ir más allá de la noticia?

En nuestra comunidad discutimos las tendencias, compartimos oportunidades y nos ayudamos entre emprendedores. Sin humo, solo acción.

👥 Unirme a la comunidad

El vector de entrada es una página web maliciosa. Al visitar el sitio desde un dispositivo vulnerable (sin que el usuario haga nada más), el kit:

Detecta el modelo del dispositivo y la versión exacta de iOS para seleccionar la cadena de ataque adecuada.
Ejecuta un Remote Code Execution (RCE) vía WebKit (el motor del navegador de Apple) aprovechando una corrupción de memoria de tipo use-after-free.
Escala privilegios mediante bypass de Pointer Authentication Code (PAC), escape de sandbox y escalada al kernel.
Instala un implante persistente (por ejemplo, dentro del proceso powerd), que sobrevive reinicios hasta que el dispositivo es parcheado.
Exfiltra datos cifrados con AES a servidores de comando y control (C2), incluyendo frases semilla BIP39 de wallets de criptomonedas, memos financieros y credenciales.

El kit identifica activamente si Lockdown Mode está activado o si se usa navegación privada, y aborta el ataque en esos casos, lo que confirma que fue diseñado por actores con conocimiento profundo del ecosistema Apple.

Dispositivos afectados por iOS 15.8.7

Esta actualización cubre los dispositivos más antiguos que ya no pueden correr iOS 16 o superior. Específicamente, iOS 15.8.7 aplica a:

iPhone 6s (todos los modelos)
iPhone 7 (todos los modelos)
iPhone SE (1.ª generación)
iPad Air 2
iPad mini 4
iPod touch (7.ª generación)

Paralelamente, Apple lanzó iOS 16.7.15 para el iPhone 8, iPhone 8 Plus, iPhone X y otros dispositivos que soportan iOS 16 pero no iOS 17. Las correcciones son las mismas: el parche fue incorporado originalmente en iOS 17.3 el 22 de enero de 2024 y ahora se retroporta a ramas anteriores.

CVEs identificados y detalles técnicos del parche

Aunque Coruna agrupa 23 vulnerabilidades, la mayoría aún carece de CVEs públicos por ser exploits previamente no documentados. Los identificados hasta la fecha incluyen:

CVE-2024-23222: Ejecución remota de código en WebKit, parcheado originalmente en iOS 17.3 (enero 2024). Permite a un atacante ejecutar código arbitrario al procesar contenido web malicioso.
CVE-2023-41974: Use-after-free en WebKit que habilita corrupción de memoria.

A nivel de kernel, se corrige una vulnerabilidad que permitía a aplicaciones obtener privilegios de ejecución de código a nivel del núcleo del sistema operativo, retroportada desde iOS 17 (septiembre 2023).

Por qué Apple sigue actualizando el iPhone 6s en 2026

Puede parecer sorprendente que Apple libere actualizaciones de seguridad para un dispositivo lanzado en 2015. La razón es pragmática: millones de iPhone 6s siguen en uso activo, especialmente en mercados emergentes de LATAM, Asia y África. Ignorar estos dispositivos equivaldría a dejar a sus usuarios expuestos a ataques de espionaje y robo sin ninguna protección.

Esta política de parches de seguridad extendidos —aunque no implique nuevas funciones— demuestra que incluso hardware con más de una década de antigüedad puede convertirse en objetivo relevante cuando es explotado por actores sofisticados con recursos de nivel estatal.

La evolución de Coruna: de espionaje a robo cripto

Según el reporte de Google Threat Intelligence Group, Coruna fue observado inicialmente en campañas de vigilancia vinculadas a actores de nación-estado desde al menos febrero de 2025. El kit completo (23 exploits, 5 cadenas) fue obtenido por GTIG a finales de 2025.

A principios de 2026, iVerify detectó que el mismo kit comenzaba a ser utilizado por grupos de cibercrimen orientados al robo de activos digitales: específicamente, wallets de criptomonedas. Los sitios trampa simulaban plataformas de finanzas o exchanges para atraer a víctimas y exfiltrar frases semilla BIP39.

Esta evolución —de herramienta de espionaje a vector financiero— es un patrón conocido en el ecosistema de amenazas: los exploits desarrollados por actores estatales eventualmente se filtran o se venden y son reutilizados por grupos criminales con motivación económica.

Qué deben hacer los founders y equipos tech ahora mismo

Si gestionas dispositivos corporativos o tu equipo usa iPhones y iPads para trabajar, estas son las acciones inmediatas:

Actualiza todos los dispositivos Apple sin excepción: Si tienes iPhones 6s, 7 o SE (1.ª gen) en uso, instala iOS 15.8.7 hoy.
Activa Lockdown Mode en perfiles de alto riesgo: fundadores, CFOs, responsables de seguridad. Coruna aborta el ataque cuando detecta este modo.
Audita los dispositivos más antiguos en tu organización: un iPhone 6s sin parchar conectado a Slack o al email corporativo puede comprometer toda la infraestructura.
Evita navegadores alternativos en iOS sin actualizar: todos los navegadores en iOS usan WebKit, por lo que Safari, Chrome y Firefox son igualmente vulnerables si el OS no está parcheado.
Considera una política de reemplazo: si un dispositivo no puede correr iOS 17, evalúa su retiro del entorno productivo.

Implicaciones para la seguridad móvil en startups de LATAM

En el ecosistema startup de LATAM, es frecuente que equipos pequeños usen dispositivos personales o de segunda mano para operar. Esto aumenta la probabilidad de tener hardware vulnerable en producción. Un iPhone 6s sin parchar con acceso a herramientas como Notion, Slack, Stripe o AWS es una superficie de ataque real y explotable con un kit como Coruna.

La seguridad móvil ya no es un tema exclusivo de grandes corporaciones: los founders y sus equipos son objetivos de valor —especialmente si operan con criptomonedas, manejan datos de usuarios o tienen inversión de terceros en juego.

Conclusión

La actualización iOS 15.8.7 de Apple es mucho más que un parche rutinario para dispositivos obsoletos. Representa la respuesta a uno de los kits de exploits más sofisticados documentados en los últimos años: Coruna, un arsenal de 23 vulnerabilidades encadenadas que fue utilizado primero para espionaje de nivel estatal y luego para robo de criptomonedas. Actualizar es la acción más simple y efectiva que puedes tomar hoy. Si tienes dispositivos Apple en tu equipo —especialmente modelos anteriores al iPhone 8— no esperes: instala el parche, activa Lockdown Mode y revisa tu política de seguridad móvil.

Profundiza estos temas con nuestra comunidad de expertos en seguridad, IA y tecnología para startups.

Unirse a la comunidad