Vulnerabilidades y Avisos de Seguridad: Boletín de seguridad de Android de octubre de 2026

Resumen de la alerta

Google ha publicado el boletín de seguridad de Android de octubre de 2026, que corrige 25 vulnerabilidades en el sistema operativo. De ellas, 7 tienen severidad crítica y 18 han sido clasificadas como de severidad alta.

Los fallos podrían permitir, según el caso, una elevación local de privilegios, la ejecución de código, la divulgación de información o condiciones de denegación de servicio (DoS). La información disponible no identifica explotación activa de las vulnerabilidades críticas detalladas: su estado figura como «Explotación: No».

La medida principal consiste en actualizar los dispositivos a un nivel de parche de seguridad de Android correspondiente al 1 de octubre de 2026 o posterior, además de aplicar las actualizaciones disponibles del sistema de Google Play.

Recursos afectados

El aviso afecta, en función de cada vulnerabilidad, a dispositivos que ejecuten las siguientes versiones de Android:

• Android 14.
• Android 15.
• Android 16.
• Android 16 QPR2.
• Android 17.

Descripción de las vulnerabilidades

Las vulnerabilidades críticas comunicadas afectan a componentes relacionados con el procesamiento de datos y con Bluetooth. Los problemas identificados incluyen ausencia de comprobaciones de límites, accesos a memoria fuera de los límites permitidos, uso de datos o punteros no inicializados, desbordamientos de búfer y condiciones de carrera.

Una comprobación de límites insuficiente, por ejemplo, puede hacer que una aplicación o proceso trate datos más allá del espacio de memoria previsto. Por su parte, una condición de carrera ocurre cuando el resultado de una operación depende de la secuencia o el momento en el que se ejecutan varios procesos, lo que puede alterar el comportamiento esperado del sistema.

• CVE-2026-58865: ausencia de comprobación de límites en varias funciones de PduParser.java. Un atacante remoto podría provocar una denegación de servicio persistente sin requerir privilegios adicionales ni interacción del usuario.
• CVE-2026-55265: lectura fuera de límites en varias funciones de PduParser.java. Podría causar una denegación de servicio remota sin interacción del usuario.
• CVE-2026-55269: validación inadecuada de datos en la función FilterCapturedPacket de snoop_logger.cc. Su posible explotación permitiría una elevación local de privilegios sin interacción del usuario.
• CVE-2026-55280: escritura fuera de límites derivada del uso de datos no inicializados. Podría facilitar una elevación local de privilegios.
• CVE-2026-58835: desbordamiento de búfer en memoria dinámica en la función cfg2prop de btif_storage.cc. Podría permitir una elevación local de privilegios.
• CVE-2026-58880: condición de carrera en la función handle_app_val_response de btif_rc.cc. Podría permitir la ejecución de código y la elevación de privilegios en el dispositivo.
• CVE-2026-49933: desreferencia de un puntero no inicializado en la función handle_le_monitor_device_event de un proceso Bluetooth privilegiado. Su explotación podría alterar el flujo de ejecución y causar una denegación de servicio.

Además, el boletín recoge 18 vulnerabilidades de severidad alta: CVE-2026-55270, CVE-2026-58815, CVE-2026-58841, CVE-2026-58854, CVE-2026-58856, CVE-2026-58834, CVE-2026-49878, CVE-2026-45513, CVE-2026-49880, CVE-2026-49885, CVE-2026-55286, CVE-2026-28667, CVE-2026-45516, CVE-2026-45524, CVE-2026-49937, CVE-2026-55266, CVE-2026-55279 y CVE-2026-58859.

Impacto y nivel de riesgo

La prioridad del aviso viene determinada por la presencia de siete vulnerabilidades críticas y por la variedad de impactos potenciales. Dependiendo del fallo afectado, una explotación exitosa podría permitir a un atacante provocar indisponibilidad persistente del dispositivo, ejecutar código o acceder a privilegios superiores a los inicialmente disponibles.

La elevación local de privilegios supone que un atacante que ya pueda ejecutar código o realizar acciones en el dispositivo podría intentar obtener permisos más elevados. En cambio, las vulnerabilidades de denegación de servicio remota descritas para PduParser.java podrían ser explotadas sin privilegios adicionales ni interacción del usuario.

El aviso no informa de ataques confirmados ni de explotación activa para los siete CVE críticos detallados. No obstante, la inexistencia de explotación conocida no elimina la necesidad de aplicar las actualizaciones, especialmente en entornos corporativos con dispositivos Android gestionados o que acceden a información empresarial.

Solución y medidas recomendadas

La solución indicada es actualizar los dispositivos Android a un nivel de parche de seguridad del 1 de octubre de 2026 o posterior.

También se recomienda instalar las actualizaciones del sistema de Google Play disponibles para cada dispositivo.

Recomendaciones para organizaciones afectadas

1. Identificar los dispositivos corporativos que ejecuten Android 14, Android 15, Android 16, Android 16 QPR2 o Android 17.
2. Comprobar el nivel de parche de seguridad instalado y priorizar la actualización de los dispositivos que no hayan alcanzado el parche del 1 de octubre de 2026.
3. Desplegar las actualizaciones del sistema de Google Play disponibles para los dispositivos gestionados.
4. Verificar, tras la actualización, que los equipos han recibido correctamente el nivel de parche requerido.
5. Dar prioridad a los terminales que accedan a recursos corporativos o que manejen información sensible, debido al potencial impacto de los fallos de ejecución de código y elevación de privilegios.