Apple corrige un error que bloqueó el iPhone con una línea de código único – MacMagazine

El investigador de seguridad brasileño Guilherme rambo descubrió un fracaso grave en iOS que permitió bloquear completamente un iPhone usando solo una línea de código. La vulnerabilidad estaba en el sistema de notificación de Darwin, un mecanismo interno que Apple utiliza para la comunicación entre diferentes partes del sistema.

El problema es que estas notificaciones no requirieron ningún permiso especial y tampoco verificaron quién estaba enviando el mensaje. Esto dejó espacio para cualquier aplicación o proceso malicioso para estropear el sistema.

Para demostrar cómo se podría explorar la falla, Rambo creó una aplicación llamada Malvadocapaz de causar varios problemas en el iPhone, como:

• Aparece alertas falsas, como la advertencia de «líquido detectado» en el puerto de carga;
• Bloquee importantes gestos del sistema, como los que abren el centro de control y el centro de notificaciones;
• Obligar al dispositivo a desconectar de Wi-Fi y usar datos móviles;
• Bloquear la pantalla;
• Ponga el iPhone en un estado de «restauración en progreso», que solo era posible reanudar el dispositivo.

En el caso del último problema anterior, incluso después de reiniciar el dispositivo, el problema podría volver, creando un ciclo infinito de bloqueo. Para empeorar las cosas, Rambo también creó una extensión de widget, llamada Muy evilnotifyque se ejecutó automáticamente después de reiniciar el iPhone. Con esto, el teléfono celular entró en un estado de «Brote de ladrillo»para que la única salida fuera borrar todo y restaurar la copia de seguridad.

El investigador informó el fracaso para Apple el 26 de junio de 2024. La compañía corrigió el problema en actualizaciones posteriores, cambiando el sistema para requerir permisos específicos para enviar notificaciones más sensibles.

La vulnerabilidad fue corregida oficialmente en el iOS 18.3 y Rambo recibió una recompensa de US $ 17.5 mil por el trabajo. El caso fue registrado bajo el código CVE-2025-24091.