Un fallo crítico de Android permite que un atacante ejecute código en el teléfono sin que su dueño toque la pantalla, abra un enlace ni instale nada. Google lo corrigió en su boletín de seguridad de noviembre, publicado el lunes 2, y le dio su nota más alta: crítico. El fallo quedó registrado como CVE-2026-58868 y vive en el Framework, la capa que sostiene buena parte del sistema.
Las versiones corregidas son Android 14, 15, 16 y 17. El boletín lo describe con la fórmula que Google reserva para lo peor: ejecución remota de código sin privilegios adicionales y sin interacción del usuario. Traducido a la calle: el ataque no necesita convencer a nadie de nada. No pide un clic.
The Hacker News detalló el punto débil con datos del registro oficial del fallo: una escritura fuera de límites nacida de un desbordamiento de búfer en la función onOutputReceived del archivo FrameDecoder.cpp, una pieza del código que procesa imágenes y video. Ni el boletín ni el registro explican qué ruta usaría un atacante para llegar hasta esa función, y ese hueco importa: sin ruta pública descrita, el riesgo es serio pero todavía teórico en su mecánica exacta.
La nota de crítico de Google trae su propia letra pequeña. La empresa califica la gravedad suponiendo que las protecciones de Android y de sus servicios están apagadas o ya fueron burladas. Con esas defensas activas, explotar el fallo se vuelve más difícil, y el propio boletín recuerda que las versiones recientes del sistema endurecen ese camino. El dato que sí está cerrado es otro: al 4 de noviembre, Google no reporta ataques que aprovechen este fallo ni ninguno del boletín, y ninguno aparecía en el catálogo de vulnerabilidades explotadas de la agencia estadounidense CISA en su actualización del 3 de noviembre.
216 correcciones y 23 fallos críticos en un solo boletín
El CVE-2026-58868 no viaja solo. El boletín de noviembre reúne 216 vulnerabilidades y 23 llevan la etiqueta de críticas, una cifra alta incluso para los estándares de un parche mensual de Android. Dos fallos más del componente System, CVE-2026-58876 y CVE-2026-58936, también permiten ejecución remota de código en las mismas versiones, de Android 14 a 17.
Google reparte el paquete en dos niveles de parche. El nivel 2026-11-01 cubre el Framework, el System y el entorno de ejecución: ahí entra el fallo crítico de Android que abre esta nota. El nivel 2026-11-05 suma el núcleo del sistema y las piezas de los fabricantes de chips: seis fallos críticos del núcleo, dos de ellos en código de Bluetooth, más correcciones críticas en el módem de MediaTek y en un componente cerrado de Qualcomm. MediaTek informó en su propio boletín de noviembre que sus fallos de módem son escrituras fuera de límites y que no conoce explotación activa.
Dentro del mismo paquete queda cerrado el fallo CVE-2026-58882, una denegación de servicio remota en decodeWapPdu, la función que procesa los mensajes WAP Push que llegan por SMS. Es la misma función del mensaje malformado capaz de tumbar las llamadas, el caso del SMS of Death contado a finales de octubre: esta vez la corrección llega dentro del parche mensual y con sello oficial de Google.
Parte del paquete ni siquiera espera al fabricante del teléfono. Los aparatos con Android 10 en adelante pueden recibir correcciones por las actualizaciones del sistema de Google Play, y la lista de este mes incluye el CVE-2026-58876. El CVE-2026-58868 no está en esa lista: su arreglo depende del parche de seguridad completo que envía cada marca.
La fecha que hay que mirar en Ajustes
Comprobar si un teléfono ya está protegido toma menos de un minuto. La ruta que indica la ayuda oficial de Google pasa por Ajustes, toca «Acerca del teléfono» y luego «Versión de Android», donde aparece la fecha de la actualización de seguridad. Esa fecha es el nivel de parche del aparato. Si marca 2026-11-01 o una posterior, el fallo crítico principal ya quedó corregido; si marca 2026-11-05, el aparato trae el boletín entero, núcleo y chips incluidos.
Entre el papel y el bolsillo hay una distancia conocida. Google avisó a sus socios de Android de todos estos fallos al menos un mes antes de publicar el boletín, y las correcciones de código llegarán al repositorio abierto AOSP en las 48 horas siguientes a la publicación, pero cada fabricante y cada operadora mueve el parche a su ritmo. Un Pixel y un gama media de otra marca pueden quedar protegidos con semanas de diferencia llevando el mismo Android 17.
El boletín no ofrece alternativa para los teléfonos que todavía no pueden instalar la actualización: no hay ajuste que la sustituya ni medida temporal publicada. Tampoco aclara la suerte de Android 12 y 13 frente al CVE-2026-58868: esas versiones no aparecen como afectadas, y los registros de Google no dicen si el fallo vive también en su código. Lo que sí dejó escrito el boletín es la lista completa de los 216 arreglos con su nivel de parche exacto, así que cada lector puede contrastar la fecha de su teléfono contra la fecha que Google exige: 2026-11-01 para dormir tranquilo con el fallo mayor, 2026-11-05 para cerrar el boletín completo.
Fuente: Google — Android Security Bulletin, noviembre de 2026
