Apple ha metido un nuevo vigilante de seguridad dentro del núcleo de iOS, capaz de frenar ataques mientras ocurren. La novedad ha salido a la luz en la primera beta de iOS 27.2, donde ha aparecido la extensión EndpointSecuritySE, una versión reducida del framework que Apple lleva años usando en el Mac. Nadie lo ha anunciado: se ha descubierto comparando las builds del sistema. La comparación es la prueba.
En iOS 27.0, build 24A437, com.apple.iokit.EndpointSecuritySE no existe. En la primera beta de iOS 27.2, la 24B5084k, aparece junto con su librería en espacio de usuario. Entre ambas apenas pasan unos días, el tiempo de una actualización menor. Y es que Apple ha colado ahí una pieza de infraestructura de seguridad seria sin anunciarla: quien analiza el código de cada beta lo encuentra, el usuario que solo instala la actualización, no.
El kernel pide permiso antes de dejar pasar nada raro Endpoint Security trabaja enganchándose a una treintena de puntos de control repartidos por el kernel, los llamados hooks del MACF (Mandatory Access Control Framework), el sistema que decide quién puede hacer qué dentro de iOS. Por ahí pasan las operaciones más delicadas, y el monitor se coloca justo en medio. Hay eventos que llegan en modo NOTIFY, cuando ya han pasado y solo sirven para tomar nota. Otros llegan en modo AUTH, y ahí cambia todo: abrir un archivo, lanzar un programa, cambiar permisos de memoria o leer el espacio de otro proceso se queda en suspenso dentro del kernel hasta que el monitor da su veredicto.
El código hostil no se observa después del daño, se frena antes de ejecutarse. Reconoce las señales típicas de un exploit: inyección de procesos para robar privilegios ajenos, firma de código que se invalida con la app ya en marcha o memoria ejecutable que aparece en la RAM sin ningún archivo detrás, la forma en que operan casi todos los ataques sin clic. Por qué ahora: el hilo que arranca en Pegasus La jugada no sale de la nada. El iPhone es blanco habitual del spyware mercenario, la tecnología de vigilancia que gobiernos y agencias instalan en el teléfono de periodistas y activistas, muchas veces sin que la víctima toque nada.
Pegasus (NSO), Predator o la operación Triangulation que destapó Kaspersky en 2023 comparten el mismo guion: encadenar varios fallos hasta llegar al kernel y espiarlo todo desde ahí. Apple ha ido apilando defensas una encima de otra: el Pointer Authentication, que firma los punteros en memoria; el Page Protection Layer y el Secure Page Table Monitor, que protegen las tablas de memoria; y, en el iPhone 17, la Memory Integrity Enforcement, la protección por hardware contra ataques a la memoria. EndpointSecuritySE añade un plano distinto: no refuerza un muro existente, coloca un guardia que observa el comportamiento y decide en el momento si deja pasar algo o no. Basta con romper un eslabón de la cadena de un exploit para que todo el ataque se venga abajo.
Qué cambia hoy para quien usa un iPhone De entrada, nada visible: la extensión trabaja dentro del kernel y el hallazgo que la ha destapado no menciona ningún interruptor nuevo en Ajustes ni ninguna configuración asociada, así que todo apunta a que actuaría de forma automática para cualquier usuario, sin que haga falta tocar nada. El beneficio, sin embargo, no se repartiría igual entre todo el mundo. Por el tipo de ataques que reconoce (inyección de procesos, memoria manipulada, exploits sin clic), cabría esperar que el mayor impacto se note entre los perfiles que más preocupan a Apple desde hace tiempo: periodistas, activistas y otros objetivos habituales del spyware mercenario. Para el usuario medio, el iPhone ya era un dispositivo complicado de comprometer sin interacción, así que esta capa añadiría margen frente a los ataques más sofisticados sin cambiar la experiencia de uso diaria.
Lo que todavía no sabemos de este vigilante Conviene ir con cautela porque hablamos de una beta de una actualización menor. Que la extensión esté ya en el paquete no garantiza que llegue con las mismas reglas al lanzamiento público: Apple podría dejarla dormida, ajustar su comportamiento o retocarla antes de que alcance a todos los iPhone. Tampoco hay constancia de que exista una interfaz pública para que empresas de seguridad externas se conecten a este monitor, algo coherente con que el iPhone, a diferencia del Mac, no cuenta con un ecosistema de software de seguridad de terceros. Hay otro hilo suelto en el frente forense.
Con iOS 26, Apple ya había tocado un archivo de registro que usan los investigadores para rastrear ataques, un movimiento que apunta en la misma dirección que EndpointSecuritySE: dejar más pistas cuando algo intenta colarse en el sistema. Falta por ver si ambos cambios forman parte de la misma estrategia o si Apple sigue sumando piezas por separado.