Tecnología del día: Apple cuenta 122 y 204 CVE; el parche de emergencia no cierra Radeon

El 15 de septiembre de 2026 (día civil en Europe/Madrid que resume este digest) The Register publicó el recuento del ciclo de parches que acompaña a iOS 27 y a macOS 27 Golden Gate, salidos el lunes: 122 CVE en el boletín móvil y 204 en el de macOS, «más de 260» en el conjunto de sistemas, navegadores y otro software de Apple. Lo llama el mayor ciclo único de la compañía. Ninguna de esas entradas, escribe, figura como explotada en activo. Contar CVE no es un procesador nuevo. ^01,02,03

El mismo martes TechSpot recogió el parche fuera de ciclo KB5129195, que Microsoft fecha el 14 para Windows 11 24H2 y 25H2. Repara inestabilidad de Escritorio remoto, un fallo de carpetas compartidas con máquinas Linux en Hyper-V y parte del audio USB; el propio boletín deja abiertos otros síntomas de audio. TechSpot añade que los cuelgues de AMD Radeon «siguen fuera» de esa lista. En servidores, el equipo de KU Lovaina, ETH Zúrich, Durham y Google detalla DDRop: un interpositor DDR5 de 159 dólares que descarta escrituras y rompe la frescura de Intel TDX, Intel Scalable SGX y AMD SEV-SNP. La divulgación coordinada es del lunes. Este resumen cierra con fuentes consultadas el 16 de septiembre de 2026. Siri AI, en beta en inglés, salió con los sistemas el lunes; aquí queda como marco, no como titular. Gemini 3.8 Live va en el digest de IA. El alto energético y Yanbu, en el de Mundo. ^04,05,06

Contar CVE no instala el sistema

Apple Support fecha el 14 los boletines de iOS 27 / iPadOS 27 y de macOS Golden Gate 27. The Register, el martes, hace la suma y la compara con los 974 de Microsoft a principios de mes: el récord es de Cupertino frente a sí misma, no frente a Redmond. De esos cientos, solo diez acreditan de forma directa un agente o un asistente de IA, según su recuento. En iOS cita dos: CVE-2026-65410, en el codificador de vídeo AVE, y CVE-2026-65409, una confusión de tipos en Foundation; ambos con Calif, Claude y Anthropic Research. ^01,02

En macOS, el boletín de Apple acredita a «Aaron Grattafiori - NVIDIA AI Red Team» en CVE-2026-43692 —un fallo de validación en CUPS que «un usuario remoto» puede usar para terminar la aplicación o ejecutar código— y en CVE-2026-64790, que puede elevar privilegios. The Register llama al primero «especialmente desagradable». Hay más entradas de CUPS y de SMB con créditos mixtos. Siri AI, presentada el lunes como beta en inglés, no es el objeto de estos CVE: el marco de este digest es el parche, no el asistente. ^03,01

Cerrar RDS no cierra la lista de conocidos

KB5129195 es acumulativo. Microsoft escribe que, tras el parche de seguridad de septiembre (KB5122880 en este boletín), RDS «podía volverse inestable»: fallos de conexión y de inicio de sesión, servidores que no responden al configurar Escritorio remoto, y herramientas —MMC, Diagnóstico de licencias RDS, Explorador, la página de Windows Update— que dejan de responder. También repara carpetas del anfitrión compartidas con máquinas Linux vía Plan9 que no aparecían en el invitado, y el modo de 8 canales o 3D en algunos USB Audio Class 1.0 que sí funcionaban en estéreo. Añade la protección de CVE-2026-62721, elevación de privilegios en el User-Mode Power Service. ⁰⁴

El mismo boletín deja un conocido: dispositivos USB Audio Class 1.0 que no arrancan (código 10), sin salida o con el volumen a cero. «Microsoft está trabajando en una resolución». TechSpot, el martes, sitúa el paquete también en 26H1, 23H2, Windows 10 y servidores, y escribe que los informes de timeouts, pantallas negras y cuelgues en Radeon —de la RX 6600 a la RX 9070 XT— no entran en el registro. Este digest no trata esos informes como un fallo que Microsoft haya reconocido. ^04,05

Instalar una placa no es entrar por la red

DDRop, previsto para CCS 2026, es un interpositor activo a velocidad nativa de DDR5. Introduce un error de paridad, silencia la alerta y hace que el módulo descarte la escritura; el procesador sigue leyendo un texto cifrado viejo que descifra bien. Falta la «frescura»: TDX, Scalable SGX y SEV-SNP cifran, pero no marcan si el valor es el actual. En TDX los autores muestran modo depuración forzado y atestaciones falsas; en SEV-SNP, un alcance más estrecho vía reubicación de páginas. Coste de materiales: 159 dólares. No es un ataque a un teléfono. ⁰⁶

Los autores asumen el modelo clásico de TEE —control de SO, hipervisor y BIOS— más una visita breve para colocar la placa. Intel y AMD, escriben, reconocieron los hallazgos y publicaron avisos el 14; ambos sitúan los ataques físicos a la DRAM fuera del alcance de los productos actuales. The Register cita el boletín de Intel del lunes: fuera de alcance, y la compañía «evalúa» endurecimiento y detección. AMD, según esa pieza, no planea mitigación. Este digest no encontró en la lista pública de AMD un boletín titulado DDRop al consultar el 16; conserva el aviso que los autores enlazan y la cita de The Register. ^06,07

Qué no se sabe aún

El 15 dejó un recuento de CVE, un parche de emergencia y una ficha de hardware. No dejó un silicio nuevo, un reconocimiento oficial de Radeon ni un parche de frescura en TDX o SEV-SNP.

En conjunto, el 15 de septiembre añadió la talla del ciclo de Apple, un parche que cierra RDS y una placa de 159 dólares contra la computación confidencial. No añadió un chip.