Hack sin contacto físico: Google corrige 216 vulnerabilidades en Android, 23 de ellas críticas
Fallo crítico en el Framework permite ejecutar código de forma remota sin privilegios ni intervención del usuario; Android 14–17 en riesgo. Un solo parche de noviembre podría no bastar: la corrección completa llega con el nivel de seguridad del 5 de noviembre.
Google corrigió 216 vulnerabilidades de Android, incluidas 23 críticas. Las más peligrosas permiten ejecutar código malicioso de forma remota sin tocar la pantalla ni solicitar permisos adicionales. Los problemas afectan a varias generaciones del sistema, incluida la más reciente, Android 17.
El boletín de seguridad de noviembre se publicó el 2 de noviembre de 2026. Las correcciones abarcan servicios del sistema, la plataforma de software de Android, el núcleo de Linux y componentes de fabricantes de procesadores. Entre los problemas detectados hay fallos que permiten elevar privilegios, divulgar información, interrumpir el funcionamiento del dispositivo o ejecutar código arbitrario.
La mayor amenaza la representa CVE-2026-58868 en el componente Framework. Google asignó a la vulnerabilidad un nivel de gravedad crítico. En ciertas condiciones un atacante puede ejecutar código de forma remota sin obtener previamente permisos adicionales. En ese escenario, el propietario del teléfono no necesita abrir enlaces ni confirmar ninguna acción.
La vulnerabilidad afecta a Android 14, 15, 16, la versión intermedia 16 QPR2 y Android 17. Otras dos fallas críticas de ejecución remota de código, CVE-2026-58876 y CVE-2026-58936, se encontraron en el componente System. Este tipo de problemas son especialmente peligrosos, ya que el ataque podría ser posible sin los signos habituales de infección.
Otras vulnerabilidades críticas en System permiten elevar privilegios o provocar denegación de servicio. Entre ellas CVE-2026-55275, CVE-2026-55283 y CVE-2026-58984. Algunos fallos afectan solo a versiones nuevas de Android. La existencia de una vulnerabilidad crítica no implica por sí sola que los atacantes ya sepan explotarla en ataques reales.
Google dividió las correcciones en dos niveles. El paquete 2026-11-01 corrige 119 vulnerabilidades en componentes principales de Android. El paquete completo 2026-11-05 añade otros 97 arreglos para el núcleo y componentes de Arm, Imagination Technologies, MediaTek, Unisoc y Qualcomm. Por tanto, tener la actualización de noviembre no siempre significa que el teléfono haya recibido todas las correcciones disponibles.
Los desarrolladores de Android advirtieron a los fabricantes sobre los problemas detectados al menos un mes antes de la publicación del boletín. Google también recuerda que los mecanismos de protección integrados y Google Play Protect dificultan la explotación de las vulnerabilidades. No obstante, los plazos para lanzar actualizaciones en modelos concretos dependen de los fabricantes de los dispositivos.
Se recomienda a los propietarios de teléfonos que verifiquen la fecha del parche de seguridad en los ajustes de Android. Para el conjunto completo de parches de noviembre se necesita el nivel del 5 de noviembre de 2026 o posterior. Mientras la actualización no esté disponible, conviene seguir el lanzamiento de firmware por parte del fabricante. No hay información confirmada en el boletín de noviembre sobre la explotación masiva de los fallos enumerados.