Bastaba con abrir una página: una vulnerabilidad en Firefox permitía a hackers tomar el control total de Android.

A veces, para comprometer un navegador no se necesitan descargas, confirmaciones ni cambios en la configuración: la vulnerabilidad CVE-2026-10702 en Firefox para Android permitía ejecutar código arbitrario tras visitar simplemente una única página maliciosa especialmente diseñada.

Nebula Security descubrió un fallo en el compilador JIT de Firefox, que convierte JavaScript ejecutado con frecuencia en código máquina. Mozilla asignó a la vulnerabilidad una alta calificación de gravedad y la corrigió en Firefox 151.0.3. Posteriormente Red Hat valoró la vulnerabilidad en 7,5 puntos en la escala CVSS 3.1. El análisis del historial del código fuente mostró que el problema estaba presente en las versiones estables desde Firefox 147 hasta la 151.0.2. En Firefox ESR 140.12 no estaba presente el código defectuoso.

La falla se debió a una descripción incorrecta de una operación dentro del compilador. Firefox entendía que la operación solo leía memoria, aunque en determinadas condiciones podía reemplazar el búfer del objeto y liberar el anterior. El optimizador continuaba usando un puntero ya inválido, lo que permitía sustituir los datos liberados y obtener acceso arbitrario a la memoria del proceso del navegador.

Por sí sola, CVE-2026-10702 ejecutaba código solo dentro del proceso aislado de Firefox. Los especialistas de Nebula Security la usaron como primera etapa de la cadena demostrativa IonStack para un dispositivo ARM64 con Android 17. El código publicado funcionó en varias compilaciones compatibles del Pixel 10, modificaba los permisos de memoria y redirigía la ejecución de WebAssembly hacia código inyectado.

La segunda etapa de la cadena fue una vulnerabilidad separada del núcleo de Linux CVE-2026-43499 (7,8 en la escala CVSS 3.1), que Nebula Security denominó GhostLock. El primer fallo permitía el acceso remoto a través del navegador, y el segundo permitía obtener privilegios root en el dispositivo compatible. Los especialistas aún no han completado la cadena para la arquitectura x86.

También eran vulnerables las versiones de Tor Browser construidas sobre las versiones afectadas de Firefox, aunque no se ha establecido la lista exacta de lanzamientos. A fecha del 28 de julio de 2026 no había confirmaciones de ataques contra usuarios. Los usuarios de Firefox deberían instalar la versión más reciente del navegador. La actualización cierra la vía de acceso por CVE-2026-10702, pero no corrige la vulnerabilidad GhostLock en el núcleo de Linux.