Google publicó su boletín de seguridad de noviembre para Android con 216 vulnerabilidades, 23 de ellas críticas. La más grave, CVE-2026-58868, afecta a Android 14, 15, 16 y 17. Podría permitir que un atacante ejecute código en el teléfono de forma remota, sin que el usuario haga nada. Esto afecta a cualquier empresa con celulares corporativos o equipos personales que acceden al correo y a las aplicaciones internas.
La falla es una posible escritura fuera de los límites de memoria. La causa un desbordamiento de búfer en la función onOutputReceived del archivo FrameDecoder.cpp. En términos simples, el sistema escribe datos donde no debe, y eso puede aprovecharse para ejecutar código malicioso. Ni el boletín ni el registro del CVE explican cómo llegaría un atacante a ese código. Google aclara que la calificación de crítica supone que las protecciones de Android y de sus servicios están desactivadas o han sido evadidas. Hasta el 4 de noviembre no había reportes de explotación activa. Tampoco figuraba en el catálogo KEV, la lista de vulnerabilidades explotadas que mantiene la agencia estadounidense CISA. Android 12 y 13 no aparecen como afectados, aunque Google no confirma si contienen el error.
El boletín corrige otra falla crítica, CVE-2026-58882, que permite una denegación de servicio remota sin interacción. Está en decodeWapPdu, la función que procesa los mensajes WAP Push, un tipo de mensaje técnico que llega por SMS. El 29 de octubre, un investigador publicó el análisis “SMS of Death” sobre un error en esa misma función. Según el investigador, un solo mensaje malformado bloquea el servicio telefónico y corta cualquier llamada activa, incluidas las de emergencia. Al atacante le basta el número del objetivo, y el mensaje no aparece en la bandeja. Además, el teléfono reintenta procesarlo en cada arranque, por lo que puede fallar repetidamente al iniciar. Existe una prueba de concepto pública. El investigador indica que Android 12 y 13 ejecutan el mismo código pero no recibirán la corrección. El boletín no confirma si CVE-2026-58882 es el mismo error descrito en ese análisis.
El paquete también corrige otras dos fallas críticas de ejecución remota de código en el componente System: CVE-2026-58876 y CVE-2026-58936. Incluye seis fallas críticas en el kernel, dos de ellas en el código de Bluetooth. La más severa permitiría a un atacante remoto elevar privilegios sin interacción. Con el nivel 2026-11-05 se corrigen además fallas críticas en el módem de MediaTek y en un componente cerrado de Qualcomm. MediaTek afirma que no conoce explotación activa de sus fallas.
Para verificar un equipo, entra en Ajustes, luego Acerca del teléfono y después Versión de Android. Allí aparece la fecha de la actualización de seguridad. Un nivel de parche 2026-11-01 o posterior corrige CVE-2026-58868 y las fallas de Framework, System y Android Runtime. Un nivel 2026-11-05 o posterior cubre todo el boletín, incluidos el kernel y los componentes de Arm, Imagination Technologies, MediaTek, Unisoc y Qualcomm. CVE-2026-58868 no se distribuye por las actualizaciones del sistema de Google Play, así que la fecha que importa es la de la actualización de seguridad. Los fabricantes y operadores envían el parche según sus propios calendarios. Google no ofrece medidas alternativas para equipos que aún no pueden actualizarse.
Qué significa para tu empresa: esta semana conviene levantar un inventario de los celulares que acceden a recursos corporativos y registrar su nivel de parche. Los equipos con Android 12 o 13, o de fabricantes que no publican actualizaciones, deberían salir del acceso corporativo o tener un plan de reemplazo. Desde nuestra experiencia en protección de endpoints EDR/XDR, el celular es un endpoint más y debe tener las mismas reglas de actualización y control que un portátil.
Fuente original: The Hacker News — ver artículo →