Vulnerabilidades y Avisos de Seguridad: Boletín de seguridad de Android: noviembre 2026

Resumen de la alerta

El boletín de seguridad de Android correspondiente a noviembre de 2026 reúne 216 vulnerabilidades: 23 clasificadas como críticas y 193 como altas según la clasificación de Android. Entre los problemas identificados figuran fallos que podrían permitir ejecución remota de código, elevación local o remota de privilegios, denegación de servicio y divulgación de información.

El riesgo más relevante afecta a componentes de Framework y podría permitir la ejecución remota de código sin privilegios adicionales ni interacción del usuario. El boletín también incluye vulnerabilidades en el núcleo Linux, pKVM, Bluetooth, módems MediaTek y un componente de código cerrado de Qualcomm.

De acuerdo con la información disponible, los CVE listados figuran con estado de explotación No. Por tanto, el aviso describe vulnerabilidades existentes y su impacto potencial, pero no confirma ataques activos ni explotación conocida de estos fallos.

Recursos afectados

El boletín identifica como afectados, según el CVE y el componente concreto, los siguientes recursos:

• Android 14.
• Android 15.
• Android 16.
• Android 16-qpr2.
• Android 17.
• Componentes de AOSP.
• Núcleo Linux.
• Componentes de MediaTek.
• Componentes de Qualcomm.
• Otros componentes de proveedores incluidos en el boletín.

Descripción de las vulnerabilidades

Los fallos corregidos abarcan distintas categorías técnicas. Varios de ellos están relacionados con una gestión insegura de la memoria, como desbordamientos de búfer, uso de memoria después de haber sido liberada, lecturas o escrituras fuera de los límites previstos y condiciones de concurrencia. Este tipo de errores puede provocar comportamientos no previstos y, dependiendo del componente afectado, facilitar la ejecución de código, el acceso a información o la obtención de privilegios superiores.

En el grupo de vulnerabilidades de ejecución remota de código se incluyen las siguientes:

• CVE-2026-58868: desbordamiento de búfer en el montículo de FrameDecoder.cpp que permite escribir fuera de límites.
• CVE-2026-58876: uso de memoria después de liberarla en componentes del sistema.
• CVE-2026-58936: uso de memoria después de liberarla en png_set_tRNS.

Según el boletín, estos tres fallos podrían permitir la ejecución remota de código sin requerir privilegios adicionales ni interacción del usuario.

La categoría de elevación de privilegios incluye vulnerabilidades que podrían permitir a un atacante obtener permisos superiores a los inicialmente disponibles:

• CVE-2026-55275 y CVE-2026-55283: uso de memoria después de liberarla que podría permitir elevar privilegios remotamente.
• CVE-2026-58984: corrupción de memoria que podría facilitar una elevación local de privilegios.
• CVE-2026-53256 y CVE-2026-89774: problemas de Bluetooth en el núcleo Linux relacionados con conexiones que no conservan adecuadamente las referencias a sus sockets.
• CVE-2026-59044 y CVE-2026-59045: fallos de memoria y concurrencia en pKVM con posible impacto de elevación local de privilegios.
• CVE-2026-80604: validación insuficiente del tamaño de informes HID, clasificada por Android como vulnerabilidad de elevación de privilegios.
• CVE-2026-20499, CVE-2026-20519, CVE-2026-20520, CVE-2026-20545, CVE-2026-20546, CVE-2026-20547, CVE-2026-20548 y CVE-2026-20549: escrituras fuera de límites en módems MediaTek. La explotación podría permitir elevar privilegios si el dispositivo se conecta a una estación base controlada por un atacante.

También se han corregido problemas con impacto de denegación de servicio o divulgación de información:

• CVE-2026-58814 y CVE-2026-58882: desbordamientos de enteros en el tratamiento de mensajes que podrían ocasionar una denegación de servicio remota.
• CVE-2026-59048: lectura fuera de límites en pKVM que podría divulgar información local.

Por último, CVE-2026-25285 afecta a un componente de código cerrado de Qualcomm y está clasificada como crítica. El boletín no publica una descripción técnica de esta vulnerabilidad, por lo que no es posible determinar capacidades adicionales a partir de la información disponible.

Impacto y nivel de riesgo

La presencia de 23 vulnerabilidades críticas requiere priorizar la actualización de los dispositivos Android incluidos en el alcance del boletín. El mayor nivel de exposición potencial corresponde a los fallos que podrían permitir ejecución remota de código sin interacción del usuario, ya que no requerirían una acción previa por parte de la persona usuaria según la información publicada.

Las vulnerabilidades de elevación de privilegios podrían facilitar que un atacante con una posición inicial determinada obtuviera permisos más amplios en el dispositivo. Sin embargo, las condiciones de explotación varían entre los CVE: algunos se describen como locales, mientras que los fallos de módem MediaTek requieren que el equipo se conecte a una estación base bajo control del atacante.

Los errores de denegación de servicio podrían afectar a la disponibilidad del dispositivo o de sus funciones, mientras que la lectura fuera de límites en pKVM podría exponer información local. La severidad crítica asignada a los CVE no implica, por sí sola, explotación activa. La fuente indica expresamente que no existe explotación conocida para los identificadores listados.

Solución y medidas recomendadas

La medida indicada es instalar las actualizaciones proporcionadas por el fabricante del dispositivo hasta alcanzar el nivel de parche de seguridad 2026-11-05 o posterior. Este nivel de parche resuelve todos los problemas recogidos en el boletín.

El nivel de parche 2026-11-01 únicamente cubre el primer grupo de correcciones, por lo que no debe considerarse suficiente para resolver la totalidad de las vulnerabilidades descritas.

La disponibilidad de las actualizaciones depende del fabricante y del modelo de dispositivo. Las organizaciones deben confirmar el nivel de parche efectivo instalado, no solo la existencia de una actualización pendiente en el sistema.

Recomendaciones para organizaciones afectadas

1. Identificar los dispositivos corporativos con Android 14, 15, 16, 16-qpr2 o 17 que estén dentro del alcance de la gestión de movilidad de la organización.
2. Priorizar la instalación de actualizaciones que lleven los equipos al nivel de parche de seguridad 2026-11-05 o posterior.
3. Verificar el nivel de parche aplicado tras la actualización, especialmente en dispositivos utilizados para acceder a correo, datos corporativos, aplicaciones internas o servicios de autenticación.
4. Revisar la disponibilidad de actualizaciones de cada fabricante para los dispositivos administrados, teniendo en cuenta que el boletín también incluye componentes de MediaTek, Qualcomm y otros proveedores.
5. Aplicar las políticas corporativas de actualización y gestión de dispositivos para reducir el tiempo de exposición de terminales que permanezcan en niveles de parche anteriores.