Google ha lanzado su boletín de seguridad correspondiente a noviembre, en el que alerta sobre una vulnerabilidad crítica en Android que podría permitir a un atacante ejecutar código de forma remota en un dispositivo sin que el usuario tenga que realizar ninguna acción. La falla, catalogada como CVE-2026-58868, afecta a las versiones de Android 14 a 17 y se corrige con el nivel de parche de seguridad 2026-11-01 o una versión posterior, cuya distribución por parte de fabricantes y operadores depende de sus propios calendarios.
De acuerdo con el boletín de Google, hasta el 4 de noviembre no se habían reportado ataques que explotaran esta ni las demás vulnerabilidades incluidas. Ninguna de ellas figuraba en el catálogo de Vulnerabilidades Explotadas Conocidas (KEV) de la Agencia de Ciberseguridad y Seguridad de Infraestructuras de Estados Unidos (CISA) en su actualización del 3 de noviembre.
La vulnerabilidad consiste en una posible escritura fuera de los límites provocada por un desbordamiento de búfer en el montículo (heap buffer overflow) dentro de la función onOutputReceived del archivo FrameDecoder.cpp. Ni el boletín ni el registro CVE de la falla detallan cómo un atacante podría llegar a ese código. La calificación de crítica que otorga Google implica que las protecciones integradas en Android y en los servicios de Google están desactivadas o han sido eludidas.
Las versiones anteriores, como Android 12 y 13, no aparecen como afectadas por esta falla, aunque los registros de Google no aclaran si contienen el mismo problema.
Cómo comprobar si tu teléfono está protegido
La página de ayuda de Google detalla los pasos para verificar el nivel de parche: abrir la aplicación Ajustes, pulsar en «Acerca del teléfono» o «Acerca de la tableta» y luego en «Versión de Android», y consultar las fechas de la actualización de seguridad de Android y de la actualización del sistema de Google Play.
- La fecha de actualización de seguridad de Android corresponde al nivel de parche del teléfono.
- Un nivel 2026-11-01 o posterior cubre CVE-2026-58868 y las demás fallas de los componentes Framework, System y Android runtime.
- Un nivel 2026-11-05 o posterior cubre todas las vulnerabilidades del boletín de noviembre, incluidas las del kernel y las de componentes de Arm, Imagination Technologies, MediaTek, Unisoc y Qualcomm.
Google establece dos fechas para que los fabricantes puedan distribuir antes un conjunto de correcciones común a todos los dispositivos Android, y les anima a incluir todas las correcciones del boletín. Los teléfonos con Android 10 o posterior también pueden recibir algunas correcciones mediante las actualizaciones del sistema de Google Play. La lista de este mes incluye otra falla crítica, CVE-2026-58876, pero no CVE-2026-58868, por lo que para esta última hay que comprobar la fecha de actualización de seguridad de Android. El boletín no ofrece soluciones alternativas para los teléfonos que aún no pueden instalar la actualización.
Una falla de denegación de servicio remota en el código de mensajes de texto de Android
Otra vulnerabilidad crítica, CVE-2026-58882, podría permitir un ataque de denegación de servicio remoto sin interacción del usuario, según su registro CVE. Se encuentra en decodeWapPdu, una función del código de Android para los mensajes WAP Push que llegan por SMS. El 29 de octubre, un investigador que publica bajo el nombre de Mark B difundió un análisis titulado «SMS of Death» sobre un error en esa misma función. Ni el boletín ni el registro CVE aclaran si CVE-2026-58882 corresponde a ese error.
Según el análisis, un único mensaje WAP Push malformado provoca el cierre de com.android.phone y finaliza cualquier llamada activa, incluidas las de emergencia. En pruebas realizadas con varios modelos de teléfono, el fallo se produjo en todas las ocasiones. El atacante solo necesita el número de teléfono del objetivo, y el mensaje nunca aparece en la bandeja de entrada. El teléfono reintenta el mensaje cada vez que se enciende, por lo que puede cerrarse al arrancar hasta que se elimine el mensaje. Existe una aplicación de prueba de concepto pública que envía ese mensaje de un teléfono a otro. Según el investigador, los teléfonos con Android 12 y 13 ejecutan el mismo código pero no reciben la corrección que sí llega a las versiones más recientes.
Otras vulnerabilidades críticas
El boletín de noviembre de Google enumera 216 vulnerabilidades, 23 de ellas clasificadas como críticas. Otras dos fallas críticas podrían permitir la ejecución remota de código: CVE-2026-58876 y CVE-2026-58936, ambas en el componente System de Android. Seis fallas críticas se encuentran en el kernel, dos de ellas en código de Bluetooth. La más grave del kernel podría permitir a un atacante remoto obtener privilegios elevados sin interacción del usuario.
El nivel de parche 2026-11-05 también corrige fallas críticas en el código del módem de MediaTek y en un componente de código cerrado de Qualcomm. En su boletín de noviembre, MediaTek describe sus fallas críticas del módem como escrituras fuera de límites y afirma que no tiene conocimiento de explotación activa.
Deja una respuesta