macOS Tahoe 26.6.2: 28 CVE y quién los descubrió realmente

El 17 de agosto de 2026 Apple lanzó macOS Tahoe 26.6.2, build 25G83. Ese mismo día lanzó la Release Candidate de macOS Tahoe 26.7. Al día siguiente lanzó Safari 26.6.1 para Sonoma y Sequoia. Tres lanzamientos de seguridad en cuarenta y ocho horas, en dos ramas distintas, sin ninguna función nueva en ninguno de ellos.

Si revisaste la cobertura de esa semana viste cifras muy dispares: 20 vulnerabilidades, 22, 28, 13. Ninguno de esos medios se equivocó. Estaban contando cosas distintas, y esa diferencia revela algo útil sobre cómo Apple publica la información de seguridad.

También hay algo en este lanzamiento que no había aparecido antes en un documento de seguridad de macOS a esta escala: nueve de los veintiocho identificadores CVE están acreditados a "OpenAI Codex Security", un esfuerzo de investigación con nombre propio que usa un modelo de IA para programar y encontrar fallos de seguridad de memoria en WebKit. Eso es aproximadamente un tercio del lanzamiento, y casi la mitad de todas las correcciones de WebKit que Apple publicó.

Puntos clave

• macOS Tahoe 26.6.2 (build 25G83, 17 de agosto de 2026) cierra 28 identificadores CVE distintos repartidos en 20 entradas. La descarga pesa unos 2.9 GB en Apple silicon. No existe una actualización de sistema equivalente para Sequoia ni Sonoma.
• Apple afirma en sus propias notas de lanzamiento que esta actualización "incorpora correcciones de seguridad que se publicaron por primera vez en la beta de macOS Golden Gate 27". Se trata de un backport, no de una actualización puntual normal, y por eso convive con una Release Candidate de 26.7.
• Nueve CVE están acreditados a "OpenAI Codex Security — Amy Burnett". Los nueve son problemas de seguridad de memoria en WebKit. Un décimo crédito corresponde a "TrendAI Zero Day Initiative".
• Safari 26.6.1 para Sonoma y Sequoia contiene exactamente el subconjunto de WebKit de esta actualización —21 CVE, todos presentes también en 26.6.2, y ninguno que no lo esté. Verificamos cada identificador uno por uno.
• Siete CVE de 26.6.2 no tienen equivalente en ningún otro sitio: tres de Kernel, dos de ImageIO, uno de Audio, uno de IOGPUFamily. Apple no ha publicado corrección alguna para estos en Sonoma ni Sequoia, y no ha dicho si esos sistemas están afectados.
• 26.7 sigue siendo solo una Release Candidate. A la fecha de esta publicación, la versión actual de macOS es 26.6.2, y si estás inscrito en un canal beta es posible que estés viendo una actualización distinta a la del resto.

Lo que Apple realmente publicó

Empecemos por los hechos que no admiten discusión, porque proceden directamente de Apple.

Según la página de lanzamientos para desarrolladores de Apple: macOS 26.6.2 (25G83), con fecha del 17 de agosto de 2026. Según el índice de lanzamientos de seguridad de Apple, macOS Tahoe 26.6.2 aparece como disponible para macOS Tahoe, publicado el 17 de agosto de 2026, y —en el momento de escribir esto— la propia nota de Apple en esa página dice "La última versión de macOS es 26.6.2".

El propio documento de seguridad se abre con una frase que merece leerse dos veces:

"Esta actualización incorpora correcciones de seguridad que se publicaron por primera vez en la beta de macOS Golden Gate 27."

No es la formulación habitual. Una actualización puntual normal de Tahoe corrige errores encontrados en Tahoe. Esta, en cambio, toma correcciones que Apple ya había hecho en la beta de macOS 27 y las trae de vuelta al sistema operativo en producción. Eso explica el momento a la perfección: la atención de ingeniería de Apple ya se centra en macOS 27, las correcciones ya estaban escritas, y en lugar de retenerlas hasta 26.7 o hasta que macOS 27 se lance en otoño, Apple publicó un backport.

Howard Oakley, de The Eclectic Light Company, quien analiza en detalle cada lanzamiento, informó el 17 de agosto que la descarga en Apple silicon pesa unos 2.9 GB, que el firmware avanza a mBoot 18000.161.10 en Apple silicon y 2103.160.2.0.0 en Intel, que el Safari incluido pasa a 26.6.2 (21624.5.1.11.3), y que la única otra app incluida con un número de versión nuevo es Passwords, que pasa de 2.6 a 2.6.2. También señaló muy pocos cambios en /System/Library, entre ellos las extensiones de kernel AppleH13CameraInterface y AppleH16CameraInterface, la extensión de kernel AppleMatch, y un puñado de frameworks privados incluyendo CryptexKit, CryptexServer y SafariSafeBrowsing.

Ese último detalle importa más de lo que parece. Un lanzamiento que apenas toca nada en /System/Library pero sube de versión Safari y la pila de WebKit es, estructuralmente, un lanzamiento de seguridad del motor del navegador disfrazado de actualización del sistema operativo.

Por qué cada medio reportó una cifra distinta

Esta es la discrepancia que confundió a la cobertura periodística, y la explicación es sencilla una vez que se entiende.

Los documentos de seguridad de Apple están organizados como entradas, no como CVE. Cada entrada tiene un nombre de componente, una línea de "Disponible para", una línea de "Impacto", una línea de "Descripción" y, después, uno o más identificadores CVE con sus créditos. La mayoría de las entradas incluyen exactamente un CVE. Algunas incluyen dos o tres, porque Apple agrupó varios errores con el mismo impacto y la misma descripción de corrección en una sola entrada.

Contando la página de macOS Tahoe 26.6.2 tal como estaba el 22 de agosto de 2026:

Medida	Cantidad
Entradas (bloques de componente)	20
Identificadores CVE distintos	28

Ambas cifras son correctas. Oakley reportó 20 porque contó entradas. Los medios que reportaron 28 contaron identificadores CVE. Ninguno de los dos está inflando el titular.

Lo mismo ocurre con el documento de Safari. Safari 26.6.1 tiene 13 entradas y 21 identificadores CVE distintos. Oakley reportó 13. Al menos un medio reportó 22, una cifra más que la nuestra; Apple sí revisa ocasionalmente estas páginas después de publicarlas, y la propia entrada de Oakley lleva la marca "Updated 06:50 GMT 18 August 2026", así que una página que ganó una entrada entre la publicación y la lectura lo explicaría. Nosotros reportamos nuestro propio recuento, tomado el 22 de agosto, y te contamos el método para que puedas repetirlo.

La lección práctica: cuando un artículo de seguridad te da una sola cifra sin explicar el método, no puedes saber si se refiere a entradas o a CVE, y en este lanzamiento la diferencia entre ambos es del 40%. Pregunta cuál de los dos es.

El desglose por componente

De las 20 entradas de macOS Tahoe 26.6.2:

Componente	Entradas
WebKit	11
Kernel	3
ImageIO	2
Audio	1
IOGPUFamily	1
WebKit History	1
WebKit Storage	1

Trece de las veinte entradas pertenecen a la familia WebKit. Esa es la forma de un lanzamiento centrado en el motor del navegador. Las otras siete son las que merece la pena leer con atención, y volveremos a ellas.

El crédito a la IA

Esta es la parte genuinamente nueva del lanzamiento, y está a la vista de todos en los créditos de Apple.

Nueve identificadores CVE de macOS Tahoe 26.6.2 llevan el crédito "OpenAI Codex Security - Amy Burnett":

• CVE-2026-64780
• CVE-2026-64784 (crédito compartido con Janggoon Lee, de Out of Bounds)
• CVE-2026-65331
• CVE-2026-65332
• CVE-2026-65333
• CVE-2026-65334
• CVE-2026-65335
• CVE-2026-65337
• CVE-2026-65338

Todos ellos están en WebKit. Sus líneas de impacto son el conjunto clásico de un motor de navegador: "El procesamiento de contenido web creado con fines maliciosos puede provocar un cierre inesperado de Safari", "…puede provocar corrupción de memoria", "…puede provocar el cierre inesperado de un proceso". Sus descripciones son las correcciones clásicas: mejor gestión de memoria, mejor verificación de límites, mejor gestión de estado, mejor bloqueo.

Un décimo crédito adyacente a la IA figura en el mismo documento: CVE-2026-64715 está acreditado a "Hossein Lotfi (@hosselot), de TrendAI Zero Day Initiative" —el veterano programa ZDI bajo su marca actual.

Qué significa esto y qué no significa

Es fácil sobreinterpretar esto, así que seamos precisos sobre lo que el crédito realmente respalda.

Lo que sí respalda: un esfuerzo de seguridad con nombre propio, construido explícitamente en torno a un modelo de IA para programar, produjo nueve hallazgos aceptados, corregidos y con CVE asignado en un solo ciclo de lanzamiento de WebKit. Eso es aproximadamente el 32% de los CVE de esta actualización de macOS y alrededor del 43% de los CVE de la familia WebKit. Son cifras reales, contadas directamente de la propia página de Apple.

Lo que no respalda: ninguna afirmación sobre cómo se encontraron esos errores. El crédito de Apple es un nombre, no una declaración de metodología. No dice que el modelo los encontrara de forma autónoma, no dice que ningún humano clasificara o redujera los casos de prueba, y no dice qué fracción de los envíos fue rechazada. Ninguna de esas preguntas tiene respuesta en el registro público, y cualquiera que te diga lo contrario está especulando.

Tampoco significa que WebKit se haya vuelto inseguro de repente. Hacer fuzzing de motores de navegador en busca de errores de seguridad de memoria ha sido una actividad productiva durante más de una década, y la razón por la que estos hallazgos parecen agruparse es que los motores de navegador son la mayor superficie de ataque del sistema operativo y la más fácil de someter a fuzzing a gran escala. Lo que ha cambiado es quién hace ese fuzzing y a qué coste.

La cobertura de 9to5Mac sobre la Release Candidate de 26.7 hizo la misma observación desde otro ángulo, señalando que "Apple ha estado acelerando su ciclo de lanzamiento de macOS para abordar vulnerabilidades descubiertas con la ayuda de herramientas de IA". Nuestro recuento es la versión concreta de esa afirmación.

Si quieres el contexto más amplio sobre cómo Apple distribuye estas correcciones entre actualizaciones completas, nuestra guía sobre las mejoras de seguridad en segundo plano en macOS Tahoe explica el mecanismo de entrega que subyace a todo esto.

Las siete correcciones que solo recibió Tahoe

Si se eliminan todas las entradas de la familia WebKit quedan siete CVE. Son los que describen el sistema operativo en lugar del navegador, y son la razón por la que esto es una actualización del sistema y no solo de Safari.

Kernel

CVE-2026-65343 — Impacto: "Un atacante remoto podría provocar el cierre inesperado del sistema." Descripción: "Se corrigió un problema de use-after-free con una mejor gestión de memoria." Crédito a Drinor Selmanaj (Sentry) y Surya Narayan Kushwaha.

Lee esa línea de impacto con atención. Atacante remoto. Cierre inesperado del sistema. Eso es un fallo del kernel activable remotamente —una denegación de servicio contra una Mac desde la red. Apple no dice si requiere que el atacante esté en la misma red, si algún servicio debe estar habilitado, ni si el use-after-free es explotable más allá de un cierre. Como siempre ocurre con un use-after-free, "cierre inesperado del sistema" es el impacto que Apple está dispuesta a declarar, no necesariamente el techo real.

CVE-2026-65349 — Impacto: "Una app podría provocar el cierre inesperado del sistema o leer memoria del kernel." Descripción: "Se corrigió una lectura fuera de límites con una mejor validación de entradas." Crédito a un investigador anónimo.

CVE-2026-65330 — Impacto: "Una app podría provocar el cierre inesperado del sistema o corromper memoria del kernel." Descripción: "El problema se corrigió con una mejor gestión de memoria." Crédito a Bhaswanth Chigurupati, Billy Jheng Bing Jhong y Pan Zhenpeng (@Peterpan0927), de STAR Labs SG Pte. Ltd.

La última es la entrada que suena más grave de todo el lanzamiento. "Corromper memoria del kernel" desde una app es la primitiva sobre la que se construyen los escapes de sandbox y las escaladas de privilegios. Aun así, requiere que un atacante consiga primero ejecutar código en tu Mac, y por eso importan las técnicas de distribución de malware que cubrimos en por qué tu Mac bloqueó un pegado en Terminal: la primera etapa es la parte difícil, y el error del kernel es lo que convierte un punto de apoyo en control total.

ImageIO

CVE-2026-65346 — Impacto: "El procesamiento de una imagen puede provocar la ejecución de código arbitrario." Descripción: "Se corrigió un desbordamiento de enteros con una mejor validación de entradas." Crédito a Meta Red Team X — Nik Tsytsarkin.

CVE-2026-65347 — Impacto: "El procesamiento de una imagen puede provocar una denegación de servicio." Descripción: "El problema se corrigió con mejores comprobaciones." Crédito a Geonha Lee (@leegn4a).

ImageIO es el framework que decodifica archivos de imagen en cualquier parte de macOS —vistas previas de Finder, Quick Look, adjuntos de Mensajes, Mail, Safari, Notas. "El procesamiento de una imagen puede provocar la ejecución de código arbitrario" tiene la forma de un error de tipo zero-click, porque en una Mac frecuentemente "procesas" una imagen con solo recibirla y dejar que se renderice una miniatura. No hay indicios de que este se haya explotado, y Apple no menciona ninguna explotación. Pero de todo lo que hay en este lanzamiento, un error de ejecución de código en ImageIO es la entrada que más justifica no esperar quince días para instalar.

Audio

CVE-2026-65339 — Impacto: "Una app podría filtrar información sensible del usuario." Descripción: "Se corrigió un problema de lógica con mejores comprobaciones." Crédito a Meta Red Team X — Nik Tsytsarkin.

IOGPUFamily

CVE-2026-64788 — Impacto: "El procesamiento de contenido web creado con fines maliciosos puede provocar corrupción de memoria." Descripción: "El problema se corrigió con una mejor gestión de memoria." Crédito a f00l (@PPPF00L), 3ndy1 (@_3ndy1), Minghao Lin@Y1nkoc y 云散花折, y Arjanit Isufi.

Este caso es un híbrido, y es la razón por la que un parche exclusivo del navegador no basta. El disparador es contenido web, pero el código vulnerable es el controlador del kernel de la GPU, al que se llega a través de rutas de renderizado con WebGL y respaldadas por Metal. Actualizar solo Safari no corrige un error en IOGPUFamily. Esta es precisamente la clase de problema que deja a los usuarios de Sonoma y Sequoia en una posición incómoda, lo que nos lleva a la siguiente sección.

Safari 26.6.1: exactamente la mitad de WebKit

El 18 de agosto de 2026 Apple lanzó Safari 26.6.1 para macOS Sonoma y macOS Sequoia. No hubo una actualización de sistema acompañante para ninguno de los dos sistemas operativos.

Comparamos directamente los identificadores CVE de ambos documentos. El resultado es inusualmente limpio:

Relación	Cantidad
CVE presentes en macOS 26.6.2 y en Safari 26.6.1	21
CVE solo en Safari 26.6.1	0
CVE solo en macOS Tahoe 26.6.2	7

Safari 26.6.1 es un subconjunto estricto. Todas las correcciones de WebKit, WebKit History y WebKit Storage que recibió Tahoe, las recibieron también Sonoma y Sequoia, a través del navegador. Las siete que no pasaron son exactamente las siete entradas ajenas a WebKit mencionadas antes: tres de Kernel, dos de ImageIO, una de Audio, una de IOGPUFamily.

Lo que esto significa si usas Sonoma o Sequoia: instala Safari 26.6.1 y tu exposición en el motor del navegador queda al mismo nivel que la de Tahoe. Lo que no tienes es una corrección publicada para los problemas de kernel, ImageIO, Audio e IOGPUFamily.

Lo que tenemos cuidado de no afirmar: que Sonoma y Sequoia sean, por lo tanto, vulnerables a esos siete. La línea "Disponible para" de Apple dice macOS Tahoe, y Apple no publica si los sistemas más antiguos contienen las mismas rutas de código. A veces una entrada es exclusiva de Tahoe porque el error se introdujo en Tahoe. A veces es exclusiva de Tahoe porque el parche para el sistema operativo anterior aún no se ha publicado. Apple no dice cuál de los dos casos es, y la postura honesta es que no lo sabemos.

Oakley interpreta el momento como una señal: "También sugiere que las próximas actualizaciones de seguridad para Sonoma y Sequoia no son inminentes." Es una inferencia razonable a partir de un lanzamiento exclusivo de Safari, y vale la pena tenerla en cuenta si sigues en un sistema operativo antiguo por elección propia. Además encaja con la evidencia de la Release Candidate —Apple publicó una RC de macOS Sequoia 15.8 (build 24H16) el 17 de agosto, así que una actualización de sistema para Sequoia está en camino, solo que aún no se ha publicado.

Para el panorama completo sobre cuánto tiempo le queda a una Mac más antigua, consulta nuestra lista de compatibilidad del fin de la era Intel Mac.

Dos ramas de Tahoe a la vez: 26.6.2 frente a 26.7

Esta es la parte que más confundió a la gente, y merece explicarse en detalle porque va a volver a ocurrir.

El 17 de agosto de 2026, Apple lanzó ambas de las siguientes:

• macOS Tahoe 26.6.2 (25G83) —un lanzamiento de seguridad final y público, disponible para todos a través de Actualización de software.
• macOS Tahoe 26.7 (25G220) —una Release Candidate, para desarrolladores y para el canal beta público el mismo día, junto con una RC de macOS Sequoia 15.8 (24H16).

La nota de lanzamiento de Apple para 26.7 dice "Esta actualización proporciona correcciones de seguridad para tu Mac." La nota de Sequoia 15.8 dice "Esta actualización proporciona correcciones de seguridad importantes y se recomienda para todos los usuarios." Ninguna de las dos promete funciones nuevas. Por su parte, MacRumors informó que la RC de 26.7 contiene cadenas de texto que hacen referencia a hardware aún no publicado —accesorios para el hogar con los nombres en clave J490 y J491, y AirPods con cámaras—, lo cual es normal en un build compilado cerca del lanzamiento de un producto y no dice nada sobre la actualización en sí.

¿En cuál deberías estar? Si no estás inscrito en un programa beta, la pregunta ni se plantea: Actualización de software te ofrece 26.6.2 y esa es la versión actual. Si estás inscrito en el canal beta de desarrolladores o público, tu Mac te está ofreciendo la RC de 26.7 en su lugar, y es fácil suponer que te has perdido 26.6.2. No es así, en el sentido de que la RC es un build posterior en la misma rama. Pero estás ejecutando software preliminar en una máquina que quizá te importa, y ese es un compromiso distinto al que aceptaste cuando te inscribiste en la beta pensando en macOS 27.

Si te inscribiste para probar macOS 27 y ahora te encuentras en una RC de Tahoe, nuestras guías sobre cómo instalar la beta pública de macOS 27 con seguridad y sobre cómo bajar de versión desde la beta de macOS 27 sin perder datos explican cómo salir del canal de forma limpia.

Fíjate en los números de build, porque son poco intuitivos: 26.6.2 es 25G83 y 26.7 es 25G220. Ambos empiezan por 25G, lo que significa que ambos son builds de la generación Tahoe con la misma base, pero el sufijo numérico no sigue un orden simple entre lanzamientos con numeraciones de versión distintas. No intentes deducir cuál actualización es "más reciente" solo a partir de la cadena del build.

Cómo instalarla, y qué revisar antes

Para la mayoría de las personas esto es una tarea de dos minutos sin sobresaltos. Los pasos que siguen son los mismos que recomendamos para cualquier actualización puntual, resumidos.

Antes de actualizar

1. Revisa tu espacio libre. La descarga en Apple silicon pesa unos 2.9 GB, y el instalador necesita margen de trabajo adicional. Si Actualización de software se niega o se queda atascada, el almacenamiento es lo primero que hay que revisar —consulta nuestra guía sobre fallos de actualización causados por falta de espacio.
2. Asegúrate de que una copia de seguridad se completó recientemente. No porque esta actualización sea arriesgada, sino porque "copia de seguridad reciente" debería ser cierto antes de cualquier escritura del sistema operativo. Si tu Time Machine ha estado fallando en silencio, nuestra guía de solución de problemas de Time Machine cubre las causas más comunes.
3. Anota tu build actual. Menú Apple → Acerca de esta Mac, y luego haz clic en el número de versión para revelar el build. Apúntalo. Si algo sale mal, querrás saber de dónde partías.

Instalación

Ajustes del Sistema → General → Actualización de software. macOS Tahoe 26.6.2 debería aparecer como "macOS Tahoe 26.6.2". Haz clic en Actualizar ahora.

Si no aparece:

• Dale tiempo. Apple escalona la disponibilidad de las actualizaciones. Un lanzamiento que llegó el 17 de agosto no se ofrecerá a todas las Mac ese mismo 17 de agosto.
• Reinicia y vuelve a comprobar. Esto resuelve una proporción sorprendente de los reportes de "no aparece", incluidos los de los propios foros de debate de Apple para este lanzamiento en concreto.
• Comprueba si estás inscrito en un canal beta. Ajustes del Sistema → General → Actualización de software → la ⓘ junto a Actualizaciones beta. Si estás en un canal beta, se te está ofreciendo un build distinto.
• Comprueba si tu Mac está gestionada. En una Mac de trabajo, una configuración MDM puede aplazar actualizaciones por política. Nuestra guía de implementación empresarial explica cómo funcionan las ventanas de aplazamiento.

Desde Terminal puedes ver qué se le está ofreciendo realmente a tu Mac:

softwareupdate --list

Y, si quieres la actualización sin la interfaz gráfica:

sudo softwareupdate --install --all --restart

Si la actualización sale mal

Rara vez ocurre en una actualización puntual, pero el proceso de actualización moderno falla de maneras que parecen alarmantes y normalmente no lo son —durante la mayor parte de la actualización tu volumen Data está desmontado, así que una Mac puede quedarse en una barra de progreso con pinta de estar muerta sin que en realidad nada esté roto. Escribimos la secuencia completa de recuperación en qué hacer cuando una actualización de macOS sale mal, incluida la diferencia entre revive y restore, y por qué siempre conviene probar revive primero.

Problemas reportados tras 26.6.2

Separamos esto con cuidado, porque una actualización de seguridad atrae todas las quejas no relacionadas que circulan por internet.

Lo que Apple ha documentado: nada. No existe ningún documento de soporte de Apple que describa un problema conocido en 26.6.2, y las notas de lanzamiento describen únicamente correcciones de seguridad.

Lo que han reportado los usuarios, sin confirmar: lo más repetido es que algunos propietarios de Studio Display XDR encontraron que su tasa de refresco de 120 Hz ya no estaba disponible tras actualizar, con algunos reportes de que desconectar y volver a conectar el cable la restauraba. Un reporte similar circuló tras la 26.6 en julio. Lo marcamos como sin confirmar entonces y lo marcamos como sin confirmar ahora: no hay reconocimiento de Apple, no hay reproducción consistente, y ningún reporte lo aísla de variables de cable, dock o firmware. Si tienes esa pantalla y dependes de los 120 Hz, eso es motivo para comprobarlo después de actualizar, no motivo para saltarte un parche de kernel e ImageIO.

Lo que no es evidencia: un hilo de foro donde alguien actualizó y después tuvo una Mac lenta. Las actualizaciones puntuales activan la reindexación de Spotlight, y esa reindexación se parece exactamente a una regresión de rendimiento durante unas horas. Cubrimos ese patrón en detalle para el lanzamiento de 26.6 en por qué tu Mac se calienta después de una actualización de macOS, y todo lo dicho ahí se aplica también aquí.

¿Deberías instalarla?

Versión corta: sí, y con relativa prontitud.

La versión larga, según tu situación:

Tu situación	Recomendación
En macOS Tahoe, Mac personal	Instálala. La entrada de ejecución de código en ImageIO la justifica por sí sola.
En macOS Tahoe, Mac de producción que no puedes perder ni una hora	Instálala dentro de la semana, tras verificar una copia de seguridad. Nada aquí trae funciones nuevas, así que no hay nada nuevo que se pueda romper.
En macOS Sequoia o Sonoma	Instala Safari 26.6.1. Eso es lo que tienes disponible, y cubre 21 de los 28 identificadores.
Inscrito en la beta de macOS 27	Estás en la rama de la RC de 26.7. Decide si quieres seguir ahí; consulta la guía de downgrade mencionada arriba.
Gestionando una flota de equipos	Ten en cuenta que esto es un backport de la beta de macOS 27, así que el código ya ha tenido exposición en beta. Despliegue estándar por anillos.

El único argumento para esperar es el general que siempre aplica: si una actualización puntual rompe algo para una configuración de hardware específica, eso suele salir a la luz en cuestión de una semana. Sopesa eso frente a un error de decodificación de imágenes sin corregir que puede activarse con un archivo que llega por Mensajes.

Lo que Apple no nos contó

Todo lanzamiento de seguridad tiene lagunas, y nombrarlas es más útil que fingir que no existen.

• Apple no dijo si alguno de estos fue explotado. Ninguna entrada lleva la frase "Apple tiene conocimiento de un reporte que indica que este problema pudo haber sido explotado activamente". Esa es una ausencia genuina y significativa, no un descuido.
• Apple no dijo por qué siete correcciones son exclusivas de Tahoe. Como se explicó antes, eso podría significar que los errores no existen en los sistemas más antiguos, o podría significar que los parches para esos sistemas todavía están por llegar. Apple nunca distingue entre ambos casos.
• Apple no describió la metodología de Codex Security. El crédito es un nombre. Todo lo demás sobre cómo se encontraron esos nueve errores permanece sin publicar.
• Apple no publicó el tamaño de la descarga. La cifra de 2.9 GB proviene del análisis de Oakley, no de Apple.
• Apple no explicó el lanzamiento en dos ramas. La frase "se publicaron por primera vez en la beta de macOS Golden Gate 27" es la única pista, y la interpretamos como un backport. Esa lectura encaja con todos los hechos observables, pero sigue siendo una lectura, no una confirmación.

Solución de problemas comunes

macOS 26.6.2 no aparece en Actualización de software

Las cuatro causas, en el orden en que conviene revisarlas: despliegue escalonado (espera y luego reinicia), inscripción en un canal beta (estás en la rama de la RC de 26.7 en su lugar), aplazamiento por MDM en una Mac gestionada, y espacio libre insuficiente. Ejecuta softwareupdate --list para ver qué cree tu Mac que hay disponible —es más informativo que la interfaz gráfica, porque muestra la etiqueta y la versión de cada actualización ofrecida.

La actualización se descargó pero no se instala

Reinicia primero. Si vuelve a fallar, comprueba el espacio libre con df -h /System/Volumes/Data —el instalador necesita bastante más espacio que el tamaño de la descarga. Si sigue fallando, aplica la ruta de recuperación de nuestro manual de actualizaciones que salen mal.

Mi Mac está lenta y caliente después de actualizar

Casi siempre es la reindexación de Spotlight. Abre el Monitor de actividad, ordena por CPU, y busca mds_stores y mdworker. Comprueba mdutil -s -a para ver el estado de la indexación. Dale horas, no minutos, y mantén la Mac conectada a la corriente. No fuerces una reconstrucción —eso reinicia el reloj.

Safari 26.6.1 no aparece en mi Mac con Sonoma o Sequoia

Las actualizaciones de Safari llegan a través de Actualización de software como cualquier otra, pero a veces se listan por separado de las actualizaciones del sistema. Comprueba softwareupdate --list buscando específicamente una entrada de Safari. Si tu Mac tiene las actualizaciones de seguridad automáticas deshabilitadas, volver a activarlas en Ajustes del Sistema → General → Actualización de software → ⓘ es la solución más rápida.

Mi Studio Display XDR perdió los 120 Hz después de actualizar

Sin confirmar y sin reconocimiento por parte de Apple, pero la solución alternativa reportada es desconectar y volver a conectar el cable de la pantalla, y luego revisar Ajustes del Sistema → Pantallas. Si eso no lo restaura, comprueba si la pantalla tiene firmware propio pendiente, y repórtalo a Apple —un problema sin reconocer sigue sin reconocerse hasta que suficiente gente lo reporte.

Preguntas frecuentes

¿Cuántas vulnerabilidades corrige macOS Tahoe 26.6.2?

Veintiocho identificadores CVE distintos, organizados en veinte entradas en la página de seguridad de Apple. Ambas cifras son legítimas; la diferencia es que algunas entradas agrupan varios CVE bajo un mismo impacto y una misma descripción de corrección. Los recuentos publicados en otros sitios pueden variar porque Apple revisa ocasionalmente estas páginas después de publicarlas.

¿Por qué Apple lanzó 26.6.2 y una Release Candidate de 26.7 el mismo día?

Porque 26.6.2 es un backport. Las propias notas de lanzamiento de Apple dicen que las correcciones "se publicaron por primera vez en la beta de macOS Golden Gate 27". En lugar de retenerlas hasta 26.7 o hasta el lanzamiento público de macOS 27, Apple las envió de inmediato al sistema operativo actual mientras 26.7 seguía su ciclo de RC.

¿Está disponible ya macOS Tahoe 26.7?

No como lanzamiento final. A la fecha de esta publicación, 26.7 existe únicamente como Release Candidate (build 25G220), publicada el 17 de agosto de 2026 para desarrolladores y probadores de la beta pública. La página de lanzamientos de seguridad de Apple sigue listando 26.6.2 como la versión actual de macOS.

¿Qué significa "OpenAI Codex Security" en los créditos de Apple?

Es el nombre acreditado de un esfuerzo de investigación de seguridad que encontró y reportó nueve de las vulnerabilidades de WebKit en este lanzamiento. Los créditos de Apple nombran a quien reporta, no el método, así que el crédito te dice quién reportó el problema y nada sobre cómo se encontró. Nueve de los 28 CVE de macOS 26.6.2 llevan este crédito, todos en WebKit.

Uso macOS Sequoia. ¿Estoy protegido?

Parcialmente. Safari 26.6.1, lanzado el 18 de agosto de 2026, contiene los 21 CVE de la familia WebKit de este lanzamiento. No contiene las siete correcciones de Kernel, ImageIO, Audio e IOGPUFamily, y Apple no ha publicado si Sequoia está afectado por ellas. Existe una Release Candidate de Sequoia 15.8, así que una actualización de sistema está en camino.

¿Necesito actualizar si solo uso Safari para navegar?

Sí. Las siete correcciones ajenas a WebKit incluyen una entrada de ImageIO cuyo impacto es "El procesamiento de una imagen puede provocar la ejecución de código arbitrario", y el procesamiento de imágenes ocurre en Mensajes, Mail, vistas previas de Finder y Quick Look —no solo en un navegador. Un modelo mental centrado únicamente en el navegador no cubre este lanzamiento.

¿Esta actualización cambiará algo visible?

No. No hay funciones nuevas, ni cambios de interfaz, ni cambios de comportamiento documentados. Los únicos incrementos de versión visibles para el usuario son Safari a 26.6.2 y la app Passwords a 2.6.2.

Conclusión

macOS Tahoe 26.6.2 es un lanzamiento de seguridad rutinario con dos cosas que vale la pena recordar.

La primera es estructural: Apple hizo backport de correcciones desde la beta de macOS 27 al sistema operativo en producción, y lo dijo por escrito. A medida que macOS 27 se acerca, cabe esperar más de esto —la corrección ya existe, la beta ya la ha puesto a prueba, y no hay razón para hacer esperar a los usuarios de Tahoe. El efecto secundario son lanzamientos como el del 17 de agosto, donde una actualización final y una Release Candidate de la siguiente versión llegan el mismo día y realmente no queda claro en cuál deberías estar. La respuesta, a menos que te hayas unido deliberadamente a una beta, siempre es la final.

La segunda es el crédito. Nueve de veintiocho CVE provenientes de un único esfuerzo de investigación impulsado por IA, todos en WebKit, no es un hito que Apple haya anunciado —simplemente está ahí, en los agradecimientos. No significa que tu Mac sea menos segura. Si acaso significa lo contrario: son errores que se encontraron y corrigieron antes de que nadie reportara que se estuvieran usando. Pero sí significa que la economía de encontrar errores de seguridad de memoria en un motor de navegador ha cambiado, y el ritmo de lanzamientos de Apple ha cambiado visiblemente con ella.

Instala la actualización. Después, si sigues en Sonoma o Sequoia, instala Safari 26.6.1 y empieza a pensar en las siete correcciones que no tienes.

Lectura relacionada: macOS Tahoe 26.6.1 y la falla de Compartir pantalla · macOS Tahoe 26.6: qué hay de nuevo y qué se corrigió · Mejoras de seguridad en segundo plano explicadas · Cierres de pestañas en Safari y los feature flags de WebKit

Fuentes: Apple, "About the security content of macOS Tahoe 26.6.2" (support.apple.com/en-us/148281, consultado el 22 de agosto de 2026) · Apple, "About the security content of Safari 26.6.1" (support.apple.com/en-us/148286, consultado el 22 de agosto de 2026) · Apple, "Apple security releases" (support.apple.com/en-us/100100, consultado el 22 de agosto de 2026) · Apple Developer, "macOS 26.6.2 (25G83)", 17 de agosto de 2026 · The Eclectic Light Company, "Apple has released a security update to macOS Tahoe 26.6.2", 17 de agosto de 2026 · The Eclectic Light Company, "Apple has released an update to Safari 26.6.1 for Sequoia and Sonoma", 18 de agosto de 2026 · 9to5Mac, "Apple rolls out Release Candidates for macOS Tahoe 26.7 and macOS Sequoia 15.8", 17 de agosto de 2026 · MacRumors, "macOS Tahoe 26.7 is Full of References to Unreleased Apple Products", 17 de agosto de 2026.