Todo lo que hiciste en Android deja de ser secreto: Google confirma una RCE que permite acceso total sin necesidad de un solo clic

Google emitió una advertencia de emergencia sobre una vulnerabilidad crítica en Android, que permite a atacantes ejecutar código arbitrario en el dispositivo sin la intervención del usuario. La vulnerabilidad Zero Click fue detectada en componentes del sistema operativo y está descrita en el boletín de seguridad de Android de noviembre de 2025.

La vulnerabilidad recibió el identificador CVE-2025-48593 y se considera una de las más peligrosas recientes. Afecta a varias versiones del Android Open Source Project (AOSP) — de la 13 a la 16 — y puede usarse para ejecución remota de código (RCE) sin necesidad de conceder permisos adicionales ni acciones por parte del propietario del dispositivo.

Según Google, los atacantes pueden explotar el fallo enviando paquetes de red especialmente manipulados o distribuyendo aplicaciones maliciosas a través de tiendas de terceros e instalaciones por sideload. Un ataque exitoso abre acceso completo al dispositivo, incluida la posibilidad de robo de datos, instalación de ransomware o convertir el teléfono en un nodo de una botnet. El problema fue registrado internamente con el identificador Android bug ID A-374746961 y ya se corrigió en las últimas compilaciones de AOSP.

La causa de la vulnerabilidad está relacionada con el manejo incorrecto de procesos del sistema, lo que permite inyectar código arbitrario durante operaciones habituales — por ejemplo, al iniciar aplicaciones o sincronizar datos en segundo plano. Investigadores señalan que, por sus características, el fallo recuerda a casos previos de corrupción de memoria utilizados para elevar privilegios en el dispositivo.

Además, el boletín señala otro error — CVE-2025-48581. Se clasifica como una vulnerabilidad de elevación de privilegios (EoP) de alta gravedad y también está presente en el componente System. A diferencia del RCE, para explotarla se requiere acceso previo al sistema; sin embargo, permite que una aplicación obtenga control no autorizado sobre funciones sensibles del dispositivo.

Los dispositivos con Android 10 y versiones posteriores podrán recibir la actualización de seguridad, sin embargo los propietarios de modelos antiguos corren el riesgo de quedar sin protección si los fabricantes retrasan la publicación de parches. Google recomienda a todos los usuarios comprobar cuanto antes la disponibilidad de actualizaciones en Ajustes — Sistema — Actualización del sistema e instalar el nivel de seguridad 2025-11-01, que corrige por completo estas fallas.

La empresa subraya que hasta el momento no se han registrado explotaciones activas, pero la naturaleza de la vulnerabilidad la hace especialmente peligrosa para funcionarios y figuras públicas, que a menudo son blanco de ataques dirigidos. La fragmentación de Android sigue siendo uno de los problemas clave del ecosistema, por lo que la rapidez de la respuesta de los fabricantes es crítica para la protección de los usuarios. Los especialistas recomiendan activar las actualizaciones automáticas y evitar instalar aplicaciones desde fuentes no verificadas — sigue siendo la forma más fiable de minimizar riesgos ante el aumento de amenazas móviles.