Otras aplicaciones del Mac podían ver tus pestañas compartidas de Safari
Hasta finales de julio, cualquier aplicación de tu Mac podía vigilar en tiempo real tus grupos de pestañas compartidos de Safari: sin pedir permiso, sin aviso del sistema y sin dejar rastro en los ajustes de privacidad. Apple corrigió el fallo el 27 de julio en Safari 26.6 y macOS Tahoe 26.6, y Positive Technologies lo describió públicamente el 17 de agosto. Es una historia pequeña con una lección útil, y merece dos minutos de tu noche para comprobar que la corrección ya está instalada.
Qué es un grupo de pestañas compartido
Un grupo de pestañas es un conjunto de pestañas con nombre, y Safari permite compartirlo con otras personas. Todos ven la misma lista y se actualiza en directo: abres una página en ese grupo y segundos después aparece en la pantalla de la otra persona. La función es realmente cómoda para planear un viaje, comparar precios entre dos o repasar enlaces con un compañero, y justo por eso el contenido de esos grupos suele ser personal.
Lo que se escapaba era precisamente esa sincronización en vivo. La vulnerabilidad, identificada como CVE-2026-43792 con una puntuación de 6,5, estaba en el mecanismo de autorización de Safari: una aplicación instalada en el mismo Mac podía suscribirse a los cambios de los grupos compartidos y verlos llegar, sin que el sistema te preguntara ni una vez si esa aplicación podía tocar los datos de Safari.
Qué podía ver otra aplicación y qué no
El alcance importa, y es más estrecho de lo que suena el titular. Lo que salía era el flujo de cambios en los grupos de pestañas compartidos, es decir, las direcciones que aparecen en los grupos que compartes con alguien. Tu historial completo, las contraseñas guardadas, los datos de formularios y las ventanas privadas no entraban ahí. Apple describe el impacto con su fórmula habitual: una aplicación podía acceder a datos sensibles del usuario, corregido con una mejor gestión del estado.
Lo interesante es la pregunta que no se hizo. En macOS te han acostumbrado a esperar un cuadro de diálogo: una aplicación quiere tus archivos, tu cámara, tu pantalla, tus contactos. Esa pregunta es toda la promesa del modelo de permisos. Aquí no la hubo, porque la comprobación que debía provocarla no se realizaba. Un programa instalado para algo completamente distinto podía quedarse quieto leyendo lo que abríais tú y la otra persona.
El segundo fallo: identificadores ligados a tu cuenta de Apple
El mismo investigador, citado por Apple como Ilya Andr (andrd3v) y presentado en la entrada de Game Center como parte de Positive Technologies, reportó un segundo problema en esa misma tanda de julio. Identificado como CVE-2026-43796 con una puntuación de 5,5, permitía a una aplicación obtener identificadores asociados a tu cuenta de Apple. Dicho así suena abstracto, pero es la materia prima del rastreo entre aplicaciones: dos programas de desarrolladores distintos pueden cruzar datos y concluir que tienen delante a la misma persona, que es justo lo que las reglas de seguimiento de Apple deberían impedir. Ese se corrigió de golpe en toda la gama, incluidos iOS y iPadOS 26.6, macOS Sequoia 15.7.8 y macOS Sonoma 14.8.8.
Compruébalo en dos minutos
- Abre el menú Apple, Ajustes del Sistema, General, Actualización de software. En Tahoe necesitas la 26.6 o posterior, y la 26.6.1 también vale. Si la actualización lleva ahí esperando, es buen momento para instalarla ahora y no el fin de semana.
- Si te quedaste en Sonoma o Sequoia, la corrección llega aparte como Safari 26.6. Abre Safari, el menú Safari y "Acerca de Safari", y compara el número. Si es menor, la actualización está en esa misma pantalla del sistema.
- En iPhone y iPad: Ajustes, General, Actualización de software; la versión 26.6 o posterior cubre lo de los identificadores de cuenta.
- Ya que estás en Safari, abre la barra lateral y mira tus grupos de pestañas. Los compartidos llevan un icono de participantes. Púlsalo y lee la lista de personas: los grupos compartidos suelen sobrevivir al viaje o al proyecto para el que se crearon.
- Quita a quien ya no pinte nada ahí, o deja de compartir el grupo por completo. Todo lo que abres en un grupo compartido lo ven todos los participantes: es la función funcionando como se diseñó, y es la parte que se olvida.
Lo que esto no significa. Nadie leía tus pestañas del banco: las ventanas privadas y la navegación normal no entraban aquí. No hay pruebas públicas de que el fallo se usara contra nadie antes de corregirse. Y ni una VPN ni el modo privado habrían cambiado nada, porque los datos se tomaban localmente, en el propio Mac, y no de tu conexión.
Por qué un fallo pequeño merece igualmente tu noche
La misma actualización de macOS cerró 153 vulnerabilidades de una vez. La mayoría no te tocarán nunca, y unas pocas explican exactamente por qué las actualizaciones no deberían quedarse un mes sin instalar. Una comprobación de autorización que falta no es un drama por sí sola, pero es justo la rendija que separa un sistema que pregunta antes de que una aplicación toque tus datos de otro que solo lo aparenta.
La versión práctica es corta: mantén el equipo en una versión con soporte, instala las actualizaciones de seguridad cuando salen y no cuando te viene bien, y de vez en cuando mira quién sigue dentro de aquello que compartiste.
