01 · Contexto
Qué está ocurriendo
Mozilla publicó el 26 de octubre el aviso MFSA 2026-117 para Firefox en iOS, con correcciones incluidas en la versión 156.1. El documento describe dos fallas relacionadas con protocolos externos. La primera, CVE-2026-116632, permitía a una página maliciosa introducir texto arbitrario en el aviso de llamada de FaceTime presentado por iOS, lo que podía facilitar mensajes de engaño dentro de la interfaz del sistema.
La segunda, CVE-2026-116631, permitía abrir un enlace telefónico en una ventana que mostraba un sitio distinto. Así, la solicitud de llamada podía parecer originada por esa otra página. Mozilla clasifica sus impactos como moderado y bajo, respectivamente. El aviso consultado no afirma explotación activa ni ejecución remota de código. Su alcance es Firefox para iOS; no corresponde trasladar automáticamente esas conclusiones a otros navegadores o plataformas.
La lectura editorial es que las fronteras de confianza también existen entre interfaces. El navegador recibe contenido de una página y puede solicitar una acción a otra aplicación. Si en ese traspaso se pierde o distorsiona el origen, un aviso visualmente familiar puede persuadir al usuario para aceptar algo que no esperaba.
02 · Impacto
Por qué importa
Para usuarios y equipos de soporte, el impacto no consiste únicamente en reconocer una página falsa. También importa identificar quién inició la acción y si coincide con la tarea que se estaba realizando. Nuestro análisis es que la apariencia de un cuadro del sistema puede aportar una sensación de legitimidad que su contenido no merece. La clasificación técnica de una falla no reemplaza la evaluación del contexto: una llamada inesperada puede resultar especialmente convincente cuando parece provenir de un servicio conocido.
03 · Recomendaciones
Qué conviene hacer
- Recomendamos comprobar la versión instalada de Firefox en los dispositivos iOS y aplicar la actualización disponible por el canal oficial. No basta con que el teléfono haya actualizado su sistema operativo: conviene verificar la aplicación afectada. Frente a una solicitud de llamada inesperada, cancelar el diálogo y consultar el servicio mediante un contacto conocido, en vez de confiar en el texto o número presentado.
- En aplicaciones web propias, revisar los enlaces que abren funciones externas como parte de las pruebas de experiencia y seguridad. Utilizar datos ficticios y dispositivos de prueba para comprobar que la acción sea comprensible y corresponda a una intención explícita. Documentar plataforma y versión utilizadas, distinguir la conducta del sitio de la del navegador y evitar presentar una prueba aislada como cobertura completa de todos los dispositivos.