Google corrigió una falla crítica de seguridad en Android que podría permitir la ejecución remota de código sin que el usuario toque la pantalla ni autorice ninguna acción. La vulnerabilidad, identificada como CVE-2026-58868, es el punto más grave del boletín de seguridad de noviembre de 2026, publicado el 2 de noviembre.
Según el boletín oficial, la falla está en el componente Framework del sistema y es causada por un desbordamiento de búfer (heap buffer overflow) en la función onOutputReceived del archivo FrameDecoder.cpp, parte del código que genera miniaturas y procesa medios como fotos y videos. Google la clasifica como crítica porque podría llevar a la ejecución remota de código sin privilegios adicionales de ejecución y sin interacción del usuario. Afecta a dispositivos con Android 14, 15, 16, 16 QPR2 y 17.
El boletín de noviembre corrige 216 vulnerabilidades, 23 de ellas clasificadas como críticas. Entre ellas hay otras dos fallas de ejecución remota de código en el componente System, CVE-2026-58876 y CVE-2026-58936, ambas con 9,8 sobre 10 en la escala CVSS. El mismo boletín incluye además la falla apodada “SMS of Death” (CVE-2026-58882), que puede tumbar el servicio telefónico del dispositivo, tema que Geekiki ya cubrió en otro artículo.
Conviene mantener el contexto: Google afirma no tener conocimiento de explotación activa de estas fallas, y no se conoce ninguna prueba de concepto pública. El boletín tampoco detalla cómo un atacante alcanzaría el código vulnerable, y el término “zero-click” no significa automáticamente que cualquier dispositivo pueda ser alcanzado por internet. Las protecciones de la plataforma Android y Google Play Protect, según Google, reducen la probabilidad de una explotación exitosa.
La corrección está en el nivel de parche de seguridad 2026-11-01 o posterior, y el boletín completo exige el nivel 2026-11-05. La distribución depende de cada fabricante y operadora. La mayor advertencia es para los dispositivos antiguos: según datos de distribución citados por Cybernews, el 43,6% de los dispositivos Android activos todavía usan Android 13 o versiones anteriores, que ya no reciben correcciones de seguridad; esos teléfonos no recibirán el parche.
Para verificar el nivel de parche, ve a Ajustes > Seguridad e instala la actualización de noviembre en cuanto esté disponible para tu dispositivo.
Crédito de la imagen: robot de Android, de Google / Irina Blok, vía Wikimedia Commons (CC BY 3.0).
Fuentes:
- Boletín de seguridad de Android — noviembre de 2026 (Google)
- Cybernews — Android zero-click flaw fixed, but many phones may miss patch
- Security Affairs — CVE-2026-58868: Critical Android Bug Could Let Attackers Run Remote Code
Transparencia: este artículo fue producido con ayuda de inteligencia artificial, cruzando publicaciones públicas en X y fuentes de internet. Consulta siempre las fuentes originales listadas arriba.
Muse
