Dos investigadores han descubierto seis fallos de seguridad en AirDrop y Quick Share, las funciones inalámbricas que transfieren archivos entre dispositivos cercanos sin cables ni red compartida.
Un atacante en el rango inalámbrico, solo con una computadora portátil y sin conexión previa, puede bloquear el servicio de intercambio en un Mac o iPhone configurado para recibir de 'Todos', sin necesidad de que el usuario toque nada ni acepte un aviso.
La misma investigación encontró fallos en Quick Share que eluden las comprobaciones de sesión de Samsung y desencadenan un bloqueo potencialmente explotable en la app de Google para Windows.
Ambas funciones operan en un ecosistema de más de cinco mil millones de dispositivos Apple y Android activos, aunque las vulnerabilidades probadas afectan implementaciones y versiones específicas.
El trabajo, presentado en un nuevo artículo de investigación por Arash Ale Ebrahim y Nils Ole Tippenhauer del Centro de Seguridad de la Información CISPA Helmholtz, es el primero en analizar ambas pilas en paralelo, por encima de la capa de radio, donde el descubrimiento se convierte en manejo de sesiones, análisis sintáctico y decisiones de confianza.
Las correcciones ya han comenzado. Apple ha parcheado uno de los tres fallos de AirDrop y le asignó un CVE, aunque el aviso aún no es público; los otros dos aún están en divulgación coordinada. Google pagó una recompensa por el fallo de Windows y ha implementado una corrección de código, con su CVE aún pendiente.
Los dos fallos de Samsung fueron entregados a Google y permanecen bajo investigación. No hay informes públicos de que estas vulnerabilidades hayan sido explotadas hasta el momento de esta redacción.
Tres formas de derribar el intercambio de Apple
Los tres fallos de AirDrop terminan en el mismo bloqueo: derriban sharingd, el servicio en segundo plano en macOS e iOS que maneja AirDrop. El problema es que este servicio también ejecuta AirPlay, Handoff, Universal Clipboard, Continuity Camera y NameDrop, por lo que un solo bloqueo afecta a todo el conjunto.
El más simple de los tres solo necesita una única solicitud malformada enviada a un dispositivo con AirDrop configurado para recibir de 'Todos'. Enviando esos mensajes de bloqueo en bucle, aproximadamente cada dos segundos, las funciones permanecen inactivas mientras el ataque continúe. En la prueba de los investigadores, ninguna transferencia legítima de AirDrop se completó mientras el ataque se ejecutaba.
Dos de los tres fallos son más que errores de AirDrop, porque residen en marcos compartidos de Apple. El más amplio es un desbordamiento de pila en el analizador de listas de propiedades XML de Foundation, provocado por un archivo pequeño con alrededor de 200 capas anidadas.
Cualquier app de Apple que abra un archivo no confiable de ese tipo podría alcanzar la misma ruta de análisis, en macOS, iOS, watchOS, tvOS y visionOS. Los investigadores reprodujeron los bloqueos de AirDrop en macOS 15.7.4, macOS 26.3, iOS 18.x e iOS 26.3; una versión anterior de iOS 16 no se vio afectada.
Los fallos de Quick Share y una corrección que rompió
En Android, dos fallos en Quick Share de Samsung permiten a un atacante saltarse el protocolo de enlace que debería asegurar una sesión. Uno permite que un dispositivo no verificado comience a controlar la conexión antes de que se establezca el cifrado.
El otro permite que algunos mensajes de control pasen sin cifrar incluso después de que exista una sesión segura. Un atacante en la misma red Wi-Fi podría usar esa brecha para forzar una conexión a un estado 'aceptado', mantenerla activa o hacer que el servidor devuelva valores de IP y puerto proporcionados por el atacante. Ninguno demostró robo de archivos, pero ambos derrotan las protecciones que promete el sistema.
Los investigadores probaron estos fallos en un Galaxy S23 Ultra y señalaron que las versiones de Quick Share de otros fabricantes de Android necesitan verificación independiente.
El fallo más grave está en Quick Share para Windows de Google. Es un error de memoria que surge cuando dos conexiones chocan en el instante preciso, dejando al programa usando un bloque de memoria que ya ha sido liberado.
Ese tipo de error a veces puede convertirse en ejecución de código del atacante, y los investigadores dicen que el camino es plausible aquí porque una defensa de Windows llamada Control Flow Guard está desactivada en la aplicación.
Confirmaron un bloqueo pero no construyeron un exploit funcional. Google lo reconoció, pagó una recompensa y ya ha implementado una corrección; el CVE aún está pendiente.
No es la primera vez que Quick Share para Windows se encuentra en esta situación. SafeBreach reportó una cadena de 10 errores de ejecución de código en 2024 (CVE-2024-38271 y CVE-2024-38272), y luego regresó en 2025 para eludir las correcciones de Google (CVE-2024-10668). El nuevo use-after-free se suma a un patrón del mismo componente siendo parcheado y probado nuevamente.
El detalle que duele: el código fuente del programa contenía un comentario admitiendo un error previo en ese mismo punto, que decía 'Tuvimos un error aquí, causado por una condición de carrera con EncryptionRunner'. La corrección escrita para manejarlo reintrodujo el mismo tipo de fallo.
El riesgo es local, no remoto
El límite clave es el alcance. Estos son ataques locales, no de internet: el atacante debe estar a unos 10 a 30 metros o en la misma red local.
Aunque menos masivo que un error remoto, un solo atacante en un lugar concurrido como un aeropuerto, tren o conferencia puede alcanzar muchos dispositivos a la vez. Los investigadores solo probaron su propio hardware y han publicado sus herramientas abiertamente para que otros equipos de seguridad puedan reproducir los hallazgos.
En un Mac o iPhone, instale la última actualización de Apple (iOS y macOS 26.5.2 lanzadas el 29 de junio) y mantenga AirDrop en 'Solo contactos' o desactivado en lugar de 'Todos', que es la configuración que necesitan estos fallos. En Quick Share, déjelo fuera de la visibilidad 'Todos' cuando no esté recibiendo activamente un archivo y actualice la app de Windows ahora que la corrección de Google se ha lanzado.
Dos sistemas construidos de forma independiente fallaron de la misma manera: bloqueos en código que enfrenta la red y controles de seguridad añadidos a manejadores de mensajes individuales en lugar de aplicarse de forma preventiva. Esto también llega en un momento incómodo.
La interoperabilidad de AirDrop con Quick Share de Google ya se está implementando en teléfonos Android emblemáticos, y solo funciona cuando el iPhone está configurado para recibir de 'Todos', exactamente el ajuste que expone los fallos de bloqueo de AirDrop.
