El boletín de seguridad de Android de noviembre de Google incluye un parche para CVE-2026-58868, una vulnerabilidad crítica que podría permitir la ejecución remota de código sin que el propietario del teléfono tenga que hacer nada. El fallo afecta a Android 14 a 17, y la corrección está incluida en el nivel de parche de seguridad 2026-11-01 o posterior. Los fabricantes de dispositivos y las operadoras distribuyen las actualizaciones según sus propios calendarios.

La vulnerabilidad consiste en un desbordamiento de búfer en el heap que podría provocar una escritura fuera de los límites en la función onOutputReceived de FrameDecoder.cpp. El boletín de Google y el registro de CVE no explican cómo podría un atacante llegar al código afectado. La clasificación Crítica de Google presupone que las protecciones integradas de Android y Google están desactivadas o se han eludido.

Al 4 de noviembre, Google no había informado de ataques que explotaran las vulnerabilidades de su boletín. CVE-2026-58868 tampoco figuraba en el catálogo de vulnerabilidades explotadas conocidas de la Agencia de Ciberseguridad y Seguridad de las Infraestructuras de Estados Unidos, según la actualización del 3 de noviembre. Android 12 y 13 no aparecen como afectados, aunque los registros de Google no indican si estas versiones contienen el fallo.

Para comprobar el nivel de parche de un teléfono, abre Ajustes, pulsa Acerca del teléfono o Acerca de la tablet, luego Versión de Android y busca la fecha de la actualización de seguridad de Android. Una fecha de 2026-11-01 o posterior cubre CVE-2026-58868 y otros fallos enumerados en los componentes Framework, System y runtime de Android. El nivel 2026-11-05 cubre todas las vulnerabilidades del boletín, incluidas las que afectan al kernel y a componentes de fabricantes de chips y empresas tecnológicas.

El boletín de Google también incluye CVE-2026-58882, otro fallo crítico que podría provocar una denegación de servicio remota sin interacción del usuario. Su registro de CVE sitúa el problema en decodeWapPdu, una función que se utiliza para procesar mensajes WAP Push enviados por SMS. Una publicación de un investigador del 29 de octubre describió un error en la misma función, pero ni Google ni el registro de CVE confirman si se trata de la misma vulnerabilidad.

El boletín contiene 216 vulnerabilidades, 23 de ellas calificadas como Críticas. Otros dos fallos críticos que podrían permitir la ejecución remota de código, CVE-2026-58876 y CVE-2026-58936, se encuentran en el componente System de Android. El nivel de parche 2026-11-05 también corrige problemas críticos en el kernel, en el código del módem de MediaTek y en un componente de Qualcomm de código cerrado. El boletín de Google no ofrece ninguna solución alternativa para los teléfonos que aún no hayan recibido la actualización.

Fuentes: The Hacker News.