Google publicó el 5 de octubre de 2026 el boletín de seguridad Android octubre 2026, el aviso mensual de la plataforma. El nivel de parche 2026-10-01 cubre 25 fallos del código abierto de la plataforma: 7 en el componente Framework y 18 en System. Siete están calificados como críticos. El texto no informa de explotación activa. Quien tenga un móvil Android en España no recibe el arreglo el mismo día: depende de Google, del fabricante y, en muchos equipos, de la operadora.
El aviso está en el Android Security Bulletin de octubre de 2026, con versión 1.0 y fecha de publicación 5 de octubre. Google avisa a los socios al menos un mes antes de hacer público el boletín. El código fuente de los parches debía llegar al repositorio AOSP en las 48 horas siguientes; en la versión consultada aún no figuraban los enlaces a los cambios.
Qué corrige el nivel 2026-10-01
Este mes solo hay un nivel de parche, el 2026-10-01. No aparece un segundo corte del día 5, como ocurre en otros boletines cuando Google separa fallos del sistema de los de componentes de fabricantes. Un dispositivo que declare 2026-10-01 debe incluir todos los arreglos de este aviso y los de boletines anteriores.
En Framework, el fallo más grave es una denegación de servicio remota, CVE-2026-58865, que no exige privilegios extra ni interacción del usuario. Afecta a Android 14, 15, 16, 16-qpr2 y 17. Los otros seis de ese bloque son altos: cinco elevaciones de privilegios y una denegación de servicio.
En System hay seis críticos. Cuatro son elevación local de privilegios sin interacción —CVE-2026-55269, CVE-2026-55280, CVE-2026-58835 y CVE-2026-58880— y solo tocan Android 16, 16-qpr2 y 17. Los otros dos críticos son denegaciones de servicio: CVE-2026-49933, en las mismas ramas, y CVE-2026-55265, que sí llega hasta Android 14. El resto del bloque System suma doce altos: una ejecución remota de código (CVE-2026-49878), varias elevaciones de privilegios, cuatro filtraciones de información y denegaciones de servicio.
La clasificación del boletín es la habitual: EoP para elevación de privilegios, RCE para ejecución remota, ID para filtración y DoS para denegación de servicio. La gravedad asume que las mitigaciones de la plataforma están desactivadas o se han saltado. En un teléfono al día, Play Protect y las protecciones de versiones recientes reducen la probabilidad de que un fallo se convierta en un ataque útil.
Tres fallos también salen por Google Play
Parte del paquete no espera al fabricante. Project Mainline reparte tres identificadores por actualización del sistema de Google Play: CVE-2026-58859 en TelephonyCore, y CVE-2026-45524 y CVE-2026-49878 en el componente Wi-Fi. Esos tres son altos, no críticos. CVE-2026-49878 es la ejecución remota de código del bloque System y afecta de Android 14 a 17.
En un Pixel o en un móvil con servicios de Google, la fecha de «actualización del sistema de Google Play» puede adelantarse al parche completo del fabricante. No sustituye al nivel 2026-10-01. El boletín lo dice con una fórmula concreta: el nivel 2026-10-01 o posterior aborda todos los problemas asociados a ese corte. La guía para comprobarlo está en la página de soporte de Google sobre versión y parche.
Qué no cubre este aviso
El boletín de AOSP no es el de Pixel ni el de Samsung, Xiaomi, Motorola u OPPO. Los fallos de chipset y de controladores propietarios se publican, si el fabricante quiere, en avisos aparte. El propio texto remite a los boletines de Google, Huawei, Motorola, Nokia y Samsung, entre otros. Un móvil puede mostrar 2026-10-01 y seguir sin un arreglo de módem o de GPU que no entra en el recuento de estos 25 CVE.
Tampoco hay en este documento precios, plazos de llegada a España ni lista de modelos. Eso lo fija cada marca. En la práctica, los Pixel suelen ir primero; el resto reparte el paquete en semanas o meses, y las gamas de entrada a menudo se quedan en el parche anterior. INCIBE mantiene el canal de avisos de INCIBE-CERT para administraciones y empresas; no sustituye al boletín de Google, pero es la referencia española cuando un fallo de plataforma acaba en equipos corporativos.
Google tampoco afirma que estos 25 fallos se estén explotando. La ausencia de esa frase no es una garantía: el boletín solo recoge lo que el equipo de seguridad de Android decide publicar. Si más adelante CISA u otro organismo añadiera alguno a un catálogo de explotación conocida, el dato habría que leerlo en ese aviso, no inferirlo de aquí.
Cómo comprobar el parche en España
En Ajustes, la ruta suele ser Sistema, Actualización del sistema, o Acerca del teléfono y luego versión de Android. Hay que mirar dos fechas: el nivel de parche de seguridad y, si existe, la actualización del sistema de Google Play. La primera es la que declara el fabricante. La segunda puede traer los tres CVE de Mainline antes de que llegue el paquete completo.
Conviene no instalar APK de «parche de octubre» que circulen fuera de Play o de la web del fabricante. El arreglo oficial no se descarga como una aplicación. En móviles de empresa, el administrador puede forzar la ventana de actualización; en un teléfono personal, la palanca es buscar actualizaciones y aceptar el paquete cuando la marca lo publique.
Quien quiera ir más allá de la fecha de pantalla puede cruzar el dato con las Android Security State Libraries, que Google presentó para que fabricantes y flotas consulten el estado de seguridad de forma programática, no solo leyendo un menú. No cambian este boletín, pero sí la forma en que una empresa puede saber si un equipo ya tiene el corte 2026-10-01.
Qué puede pasar ahora
En los próximos días deberían aparecer los enlaces AOSP que el boletín promete revisar. Los fabricantes que ya tenían el aviso previo pueden empezar a empujar el nivel 2026-10-01. No hay, en la fuente primaria, una fecha de llegada a Galaxy, Pixel, Xiaomi o los Android de operadora en España.
El dato útil de este mes es estrecho y comprobable: 25 CVE, siete críticos, un solo nivel de parche y tres identificadores que también viajan por Play. El resto —si tu modelo concreto ya lo tiene— se mira en Ajustes, no en el titular.
Deja una respuesta