Divulgación pendiente

Los informes adicionales se mantienen en espera hasta que el problema correspondiente sea corregido y la divulgación sea autorizada a través del programa pertinente.

También acreditado

• CVE-2026-28962 — Apple WebKit. Contenido web malicioso que conduce a la divulgación de información sensible. Corregido en Safari 26.5, macOS, iOS/iPadOS y visionOS. (Aviso de Apple)

Enfoque

Auditoría basada en el código fuente en lugar de fuzzing ciego. Dos cosas que busco en particular:

1. Correcciones incompletas. Un parche se escribe bajo presión de tiempo por alguien que ya ha decidido cuál es el error. Ese marco es donde vive el segundo error.
2. Guardas colocadas dentro de condicionales. Una comprobación de límites solo es tan buena como el conjunto de rutas que la alcanzan. Los analizadores de protocolo con manejo distinto por dirección, por opcode o por tipo de trama son estructuralmente propensos a esto.

Nada es un hallazgo hasta que un oráculo de explotación se dispara. La severidad se informa con honestidad, incluso cuando las condiciones previas hacen que un error sea difícil de alcanzar.