worse_query permite que las apps de iOS lean archivos de otras apps y no hay parche de Apple listado

Un zero-day en el aislamiento de contenedores de iOS

Una vulnerabilidad zero-day de iOS llamada worse_query permite a apps maliciosas leer archivos que pertenecen a otras apps. El investigador de seguridad forcequitOS publicó una prueba de concepto funcional en GitHub el 8 de noviembre de 2026. El fallo se describió como el sucesor de un exploit anterior, bad_query.

iOS normalmente mantiene cada app en un sandbox aislado. Worse_query abusa de una interfaz de consulta en el gestor de contenedores mediante enlaces simbólicos dentro de un contenedor de grupo de apps. Esto permite que una app maliciosa lea, modifique o elimine bases de datos, documentos, cachés y archivos de configuración de otras apps sin jailbreak ni un exploit de kernel, según el análisis de la firma de seguridad Ostorlab.

Advertencia de Binance, parche limitado

Binance emitió una advertencia en X el 10 de noviembre de 2026. Indicó que el problema afecta a iOS a nivel de sistema, incluidas las versiones 26.7.1, 27.0.1 y 27.2. Añadió: «Es un problema de iOS, no exclusivo de Binance». El exchange pidió a los usuarios eliminar las apps instaladas desde fuentes no confiables y actualizar iOS a la última versión oficial.

Apple publicó iOS 27.2.1 e iOS 26.7.3 el 9 de noviembre de 2026. Sus notas de seguridad no mencionan una corrección para escapes de sandbox y no asignan ningún identificador CVE a worse_query. Ostorlab dijo que la brecha sigue abierta sin un parche confirmado del fabricante. Como no se ha asignado ningún CVE, la falla no figuraba en el catálogo de vulnerabilidades explotadas conocidas de CISA al 10 de noviembre de 2026.

El riesgo para las carteras es condicional

Según el responsable de seguridad de la información de SlowMist, conocido como 23pds, el fallo no roba fondos por sí solo. Un robo requeriría dos condiciones a la vez: que el usuario instale y ejecute una app maliciosa desde fuera del App Store, y que la cartera afectada guarde frases semilla, archivos keystore o cachés de WebView en texto plano en una carpeta accesible localmente.

Las herramientas derivadas del exploit, difundidas públicamente como WQ Files, ya pueden leer, modificar y eliminar archivos de terceros. No se había reportado ningún robo de criptomonedas confirmado mediante worse_query hasta la fecha del informe. SlowMist recomendó no instalar IPAs por sideload, mantener iOS actualizado, guardar datos sensibles solo en forma cifrada y mover los activos a una cartera nueva creada en un dispositivo limpio si se instaló una app no confiable.

Apple no había publicado un aviso ni una versión corregida para worse_query, dijo Ostorlab. El exploit sigue activo con código público disponible.