Durante años hemos oído hablar de los peligros del sideloading en Android y de los riesgos de instalar aplicaciones fuera de las tiendas oficiales. Pero esta vez la amenaza llegó por un camino mucho más inesperado: una vulnerabilidad de WhatsApp en iPhone.
En 2025, una combinación de fallos de seguridad en WhatsApp y en los sistemas de Apple permitió realizar ataques de tipo zero-click, capaces de comprometer dispositivos sin que la víctima tuviera que pulsar un enlace ni interactuar directamente con el mensaje.
La amenaza fue especialmente sofisticada y estuvo dirigida a un grupo reducido de usuarios. WhatsApp notificó a menos de 200 personas que podían haber sido objetivo de estos ataques.
La buena noticia es que tanto Apple como WhatsApp actuaron para solucionar las vulnerabilidades.
La mala es que este caso demuestra algo que conviene recordar: mantener el iPhone y las aplicaciones actualizadas no es una cuestión de tener las últimas funciones. También es una cuestión de seguridad.
¿Qué ocurrió con la vulnerabilidad de WhatsApp en iPhone?
El ataque aprovechaba una combinación de dos vulnerabilidades diferentes.
Por un lado, WhatsApp corrigió el fallo CVE-2025-55177, que afectaba a versiones anteriores de WhatsApp para iOS, WhatsApp Business para iOS y WhatsApp para Mac.
Por otro, Apple solucionó la vulnerabilidad CVE-2025-43300, relacionada con el sistema encargado de procesar imágenes en sus dispositivos. Apple explicó que el fallo podía provocar una corrupción de memoria al procesar una imagen maliciosa y que tenía conocimiento de su explotación en ataques extremadamente sofisticados contra personas concretas.
La combinación de ambos fallos permitió desarrollar un ataque conocido como zero-click.
¿Qué significa un ataque zero-click?
El término puede sonar bastante técnico, pero la idea es sencilla.
En un ataque convencional, el usuario suele tener que hacer algo: abrir un archivo, pulsar un enlace, instalar una aplicación o introducir sus datos.
En un ataque zero-click, la víctima no necesita realizar ninguna de esas acciones.
El atacante puede aprovechar una vulnerabilidad que se ejecuta automáticamente al procesar determinado contenido.
En este caso, la combinación de las vulnerabilidades permitía utilizar WhatsApp como vía para intentar comprometer determinados dispositivos Apple sin que el usuario tuviera que pulsar un enlace.
Y ahí está precisamente la parte más preocupante.
No siempre puedes protegerte de una amenaza simplemente teniendo cuidado con lo que pulsas.
¿Qué información podía quedar expuesta?
Una vez comprometido un dispositivo mediante un ataque de este tipo, el riesgo puede ser mucho mayor que el de recibir un simple mensaje sospechoso.
Los ataques de spyware pueden permitir acceder a información almacenada en el dispositivo y, dependiendo del software utilizado y del nivel de compromiso conseguido, llegar a afectar a comunicaciones, fotografías, ubicación y otros datos personales.
Precisamente por eso este tipo de ataques suele estar dirigido a objetivos concretos y requiere herramientas muy avanzadas.
No significa que todos los usuarios de iPhone estuvieran en peligro inmediato.
De hecho, WhatsApp indicó que las notificaciones se enviaron a menos de 200 usuarios que podían haber sido objetivo de la campaña.
Pero el caso sirve como recordatorio de que incluso los dispositivos considerados más seguros pueden tener vulnerabilidades.
Apple lanzó iOS 18.6.2 para solucionar el problema
Apple publicó iOS 18.6.2 el 20 de agosto de 2025 para corregir la vulnerabilidad CVE-2025-43300.
La actualización estaba disponible para iPhone XS y modelos posteriores, además de determinados modelos de iPad. Apple indicó que el problema afectaba al procesamiento de imágenes y que podía provocar corrupción de memoria.
Por su parte, WhatsApp también corrigió su propia vulnerabilidad en sus aplicaciones afectadas.
Por eso, si utilizas WhatsApp en un iPhone, hay dos cosas que deberías mantener actualizadas:
iOS y WhatsApp.
No basta con actualizar únicamente una de las dos aplicaciones cuando una amenaza aprovecha vulnerabilidades encadenadas.
¿Cómo puedo proteger mi iPhone?
La medida más sencilla es también una de las más importantes: mantener el sistema operativo y las aplicaciones actualizados.
Para comprobar si tienes una actualización de iOS pendiente:
Ajustes → General → Actualización de software
Y para actualizar WhatsApp:
App Store → tu perfil → Actualizaciones
Comprueba que tanto iOS como WhatsApp estén utilizando una versión actualizada.
Si recibes una notificación específica de WhatsApp indicando que tu dispositivo podría haber sido objetivo de un ataque, entonces la situación es diferente.
En ese caso, sigue las instrucciones de seguridad proporcionadas por WhatsApp y considera realizar una restauración completa del dispositivo si así te lo indican.
¿Significa esto que mi iPhone está en peligro?
No necesariamente.
Este tipo de noticias puede generar la sensación de que cualquier persona puede ser víctima simplemente por recibir un WhatsApp.
Pero es importante poner el caso en contexto.
La vulnerabilidad fue utilizada en ataques dirigidos y sofisticados, no como una campaña indiscriminada contra todos los usuarios de iPhone. Apple habló de ataques contra personas concretas y WhatsApp notificó a menos de 200 usuarios que podían haber sido objetivo.
Por tanto, no hay motivo para entrar en pánico.
Sí hay motivo para hacer algo mucho más sencillo:
actualizar.
Actualizar también es una medida de seguridad
Muchas personas retrasan las actualizaciones porque piensan que solo sirven para añadir nuevas funciones o cambiar el aspecto del sistema.
Pero las actualizaciones de software cumplen otra función mucho más importante: cerrar agujeros de seguridad.
Cuando Apple publica una actualización como iOS 18.6.2, no estamos hablando simplemente de una nueva característica.
Estamos hablando de una vulnerabilidad que ya ha sido identificada y corregida.
Y cuanto más tiempo permanezca un dispositivo sin actualizar, más tiempo puede estar expuesto a problemas que ya tienen solución.
La seguridad digital también forma parte del día a día
En Lumazaki, hablamos habitualmente de diseño, comunicación y tecnología.
Y todas estas áreas están mucho más relacionadas de lo que parece.
Diseñamos para comunicar.
Utilizamos tecnología para trabajar.
Y almacenamos una enorme cantidad de información personal en nuestros dispositivos.
Por eso, la seguridad digital también forma parte de nuestra vida cotidiana.
No hace falta convertirse en experto en ciberseguridad para protegerse mejor.
A veces basta con algo tan sencillo como no ignorar las actualizaciones pendientes.
Unos minutos pueden marcar la diferencia entre utilizar un dispositivo con una vulnerabilidad conocida o utilizarlo con las últimas correcciones de seguridad disponibles.
Una última recomendación
Si tienes un iPhone, WhatsApp instalado y una actualización pendiente, no la dejes para mañana.
Comprueba Ajustes → General → Actualización de software y revisa también las actualizaciones disponibles en la App Store.
Porque una actualización puede traer nuevas funciones, mejorar el rendimiento o corregir pequeños errores.
Pero, sobre todo, puede cerrar una puerta que alguien estaba intentando utilizar.
Tu iPhone no necesita ser perfecto para estar seguro. Necesita estar actualizado.