Google ha publicado el Android Security Bulletin de noviembre de 2026, que corrige 216 vulnerabilidades, de las cuales 23 son de gravedad crítica. Entre ellas destacan tres fallos de ejecución remota de código que no requieren interacción del usuario y el conocido como “SMS of Death”, capaz de interrumpir llamadas, incluidas las de emergencia, con un simple mensaje oculto.
El boletín, publicado el 2 de noviembre, establece que los dispositivos con nivel de parche 2026-11-05 o posterior quedan protegidos frente a todos los problemas listados. Los parches se reparten en dos niveles: el del 1 de noviembre cubre 119 fallos en runtime, Framework y System; el del 5 de noviembre añade 97 más en kernel y componentes de fabricantes como Qualcomm, MediaTek, Arm y Unisoc. Google afirma que no hay constancia de explotación activa en el mundo real. Esta cifra sitúa el boletín de noviembre entre los más densos del año y refleja el volumen creciente de código que el ecosistema Android debe mantener seguro.
El robot Android. Imagen de Wikimedia Commons bajo licencia CC BY 3.0, atribución a Google.
Las vulnerabilidades más graves: RCE zero-click
La más severa es CVE-2026-58868, un desbordamiento de búfer en heap dentro de FrameDecoder.cpp del componente Framework. Permite ejecución remota de código sin privilegios adicionales ni interacción del usuario. Afecta a Android 14, 15, 16, 16 QPR2 y 17. El boletín oficial la califica de crítica y la describe exactamente así: “The most severe of these issues is a critical security vulnerability in the Framework component that could lead to remote code execution with no additional execution privileges needed. User interaction is not needed for exploitation.”
Otras dos RCE críticas de tipo zero-click residen en System: CVE-2026-58876 (use-after-free en Media Codecs, distribuida también vía Google Play system updates) y CVE-2026-58936 (use-after-free en libpng). Ambas afectan las mismas versiones de Android. Un tercer fallo crítico de escalada remota, CVE-2026-55275, afecta a Android 16 y posteriores. Estos tres problemas ilustran cómo un fallo en el procesamiento de datos remotos (imágenes, códecs o tramas) puede convertirse en control del dispositivo sin que el usuario abra nada.
En total, el boletín lista más de veinte problemas críticos repartidos entre Framework, System, kernel y módems de MediaTek. La mayoría de los fallos de alta gravedad son elevaciones de privilegios o denegaciones de servicio. Google notifica a los fabricantes con al menos un mes de antelación, por lo que Samsung, Pixel y otros ya están publicando o preparando sus actualizaciones mensuales. Los seis fallos críticos de módem de MediaTek (CVE-2026-20499 a CVE-2026-20549) son especialmente relevantes porque pueden explotarse por radio, sin necesidad de que el usuario interactúe con un archivo o una página web.
El SMS of Death: CVE-2026-58882
Uno de los fallos que más atención ha recibido es CVE-2026-58882, clasificado como DoS crítico en System y presente en el nivel de parche 2026-11-01. Un mensaje WAP Push malformado de apenas ocho bytes puede hacer caer el proceso com.android.phone. El usuario no ve el mensaje en la bandeja de entrada ni tiene que interactuar: basta con que el operador lo entregue.
El investigador Mark Blaszczyk (o Mark B) lo reportó a Google el 5 de mayo de 2026. El fallo puede interrumpir llamadas en curso, incluidas las de emergencia, y, si se reenvían varios mensajes, provocar bucles de reinicio. Unos 20 mensajes bastan, según las pruebas publicadas, para dejar el teléfono inutilizable temporalmente. Google ya había preparado un commit en junio; el parche llega de forma generalizada ahora. Afecta a Android 14-17; las versiones 12 y 13, que comparten código vulnerable, no reciben corrección oficial y quedan permanentemente expuestas.
El mecanismo es simple y antiguo: WAP Push es un canal legado que las operadoras utilizan para entregar configuraciones o notificaciones multimedia sin intervención del usuario. Un valor de longitud mal calculado en la cabecera provoca un fallo en el decodificador y el proceso de telefonía se reinicia. Como el mensaje permanece en la cola de entrega del operador, cada reintento vuelve a disparar el fallo. En pruebas con Pixel 9 y varios Samsung Galaxy el éxito fue del 100 %.
Los usuarios deben comprobar el nivel de parche de seguridad en Ajustes. Imagen de Unsplash, licencia gratuita para uso comercial.
Qué cambia para el usuario en España
En España la mayoría de los terminales de gama media y alta aún reciben actualizaciones de seguridad durante tres o cuatro años. Los Pixel de Google suelen ser los primeros en recibir el nivel 2026-11-05. Samsung aplica sus SMR (Security Maintenance Release) en paralelo; el de noviembre de 2026 ya incluye los CVE críticos del boletín de Google más parches propios. Xiaomi, Oppo, Realme y el resto de fabricantes chinos suelen tardar entre dos y seis semanas adicionales. Los operadores españoles (Movistar, Orange, Vodafone) añaden a veces un retraso adicional cuando el parche pasa por sus procesos de validación.
Para comprobar el nivel de parche: Ajustes → Acerca del teléfono → Versión de Android → Nivel de parche de seguridad de Android. Si aparece 1 de noviembre de 2026 o posterior, la mayoría de los fallos de Framework y System están corregidos; el nivel del 5 de noviembre cubre además kernel y chipsets. También conviene actualizar el Google Play system update, que lleva algunos de los parches de Media Codecs y Telephonycore de forma independiente. En muchos dispositivos este segundo canal se actualiza en segundo plano y puede adelantarse al parche completo del fabricante.
Los dispositivos con Android 12 o 13 no recibirán el parche del SMS of Death. En la práctica, muchos de ellos ya están fuera de soporte de seguridad. La recomendación es valorar la sustitución si el terminal se usa para llamadas de emergencia o gestiona datos sensibles. Según datos de StatCounter, una parte no despreciable del parque español aún corre versiones anteriores a Android 14, especialmente en la gama de entrada.
Contexto y qué puede pasar ahora
Este boletín llega en un momento en el que los ataques zero-click a dispositivos móviles siguen siendo una preocupación para periodistas, abogados y usuarios de alto riesgo. Aunque Google no reporta explotación activa de estas 216 vulnerabilidades, la existencia de PoC públicos para el SMS of Death demuestra que el código de explotación puede circular rápidamente una vez se conoce el fallo. En el pasado, fallos similares de telefonía han sido utilizados por grupos de spyware comercial para forzar reinicios o interrumpir comunicaciones en momentos críticos.
Los fabricantes tienen un mes de margen habitual, pero la fragmentación de Android significa que una parte relevante del parque instalado en España y Europa nunca recibirá estos parches. Google Play Protect y las mitigaciones de la plataforma reducen el riesgo de muchas explotaciones, pero no eliminan el de un RCE zero-click en Framework o System. Las protecciones de memoria de las versiones más recientes (Android 15 y 16) dificultan la explotación, pero no la hacen imposible si el atacante dispone de un gadget de ROP adecuado.
En las próximas semanas se espera que Samsung, Google Pixel, Motorola y los principales OEM europeos publiquen sus actualizaciones. También se publicarán los parches de código fuente en AOSP, lo que permitirá a investigadores independientes verificar la calidad de las correcciones. Hasta entonces, la medida práctica más efectiva es comprobar el nivel de parche y forzar la búsqueda de actualizaciones. Los usuarios de alto riesgo pueden complementar con perfiles de GrapheneOS o CalyxOS cuando el dispositivo lo permita, aunque esos proyectos también dependen de los parches de AOSP.
Cómo actuar
1. Abre Ajustes y busca actualizaciones del sistema. Instala cualquier paquete disponible.
2. Comprueba el nivel de parche de seguridad. Objetivo: 2026-11-05 o posterior.
3. Actualiza el Google Play system update (Ajustes → Seguridad → Google Play system update).
4. Si tu teléfono usa Android 12 o 13, asume que el SMS of Death sigue sin parche y valora si el riesgo es aceptable.
5. Mantén Google Play Protect activo y evita instalar APK de fuentes no verificadas.
El boletín completo está disponible en el sitio oficial de Android Open Source Project. No se han reportado ataques en el mundo real hasta el momento de la publicación de este artículo. La combinación de volumen de parches, gravedad de los RCE zero-click y el carácter práctico del SMS of Death convierte esta actualización en una de las más relevantes del año para usuarios de Android en España y Europa.
Fuentes: Android Security Bulletin — November 2026 (Google), informes de SecurityWeek, heise online y CyberInsider sobre el SMS of Death.
Deja una respuesta