El INCIBE-CERT ha publicado el boletín de seguridad de Android de noviembre de 2026 con 216 CVE, 23 de ellos críticos y 193 de severidad alta.
EN 30 SEGUNDOS
- ¿Qué ha ocurrido? El INCIBE-CERT, el equipo de respuesta ante incidentes del INCIBE, el organismo público que atiende en ciberseguridad a ciudadanos y empresas, ha publicado el boletín mensual de seguridad de Android con 216 vulnerabilidades.
- ¿A quién afecta? A dispositivos con Android 14, 15, 16, 16-qpr2 y 17, además del núcleo Linux y componentes de MediaTek, Qualcomm y otros proveedores.
- ¿Qué solución hay? Instalar las actualizaciones del fabricante hasta alcanzar un nivel de parche de seguridad 2026-11-05 o posterior.
El aviso, registrado con el identificador INCIBE-2026-823 y publicado el martes 3 de noviembre de 2026, mantiene el doble nivel de corrección que Google aplica a estos boletines. El parche 2026-11-01 cubre únicamente el primer grupo de correcciones; el nivel 2026-11-05 resuelve la totalidad de los problemas recogidos.
Ejecución remota de código sin tocar el móvil: el fallo más grave está en Framework
El punto más delicado del boletín se localiza en Framework. CVE-2026-58868 describe un desbordamiento de búfer en el montículo de FrameDecoder.cpp que permite escribir fuera de los límites de memoria reservados. A su lado, CVE-2026-58876 y CVE-2026-58936 recogen usos de memoria después de liberarla en componentes del sistema y en png_set_tRNS. Los tres, clasificados como críticos, podrían habilitar ejecución remota de código sin privilegios adicionales ni interacción del usuario.
El resto de la lista crítica se reparte entre elevación de privilegios, denegación de servicio y divulgación de información. CVE-2026-55275 y CVE-2026-55283 apuntan a usos de memoria después de liberarla con capacidad de elevar privilegios de forma remota; CVE-2026-58984 lo plantea en local a través de corrupción de memoria. En el núcleo Linux, CVE-2026-53256 y CVE-2026-89774 afectan a Bluetooth y a la conservación de referencias de los sockets. Los fallos de memoria y concurrencia en pKVM (la capa de virtualización protegida de Android) figuran en CVE-2026-59044 y CVE-2026-59045, mientras que CVE-2026-80604 señala una validación insuficiente del tamaño de informes HID.
Módems MediaTek, el componente cerrado de Qualcomm y la denegación de servicio
Ocho de los CVE críticos corresponden a módems MediaTek: CVE-2026-20499, CVE-2026-20519, CVE-2026-20520, CVE-2026-20545, CVE-2026-20546, CVE-2026-20547, CVE-2026-20548 y CVE-2026-20549. Son escrituras fuera de límites que podrían traducirse en elevación de privilegios si el equipo se conecta a una estación base bajo control del atacante. En paralelo, CVE-2026-25285 afecta a un componente de código cerrado de Qualcomm y se clasifica como crítica, aunque el boletín de Android no publica su descripción técnica ni le atribuye capacidades adicionales no verificadas. CVE-2026-58814 y CVE-2026-58882 describen desbordamientos de enteros en el tratamiento de mensajes con posibilidad de denegación de servicio remota, y CVE-2026-59048 una lectura fuera de límites en pKVM con divulgación de información en local.
De los 216 CVE del boletín, 23 son críticos: uno de cada diez fallos puede comprometer el dispositivo sin que el usuario llegue a advertirlo.
Ninguno de los 23 CVE críticos figura como explotado: la columna de explotación aparece con el valor «No» en todos los casos y el fabricante asignado es Google. La ausencia de explotación conocida no equivale a inocuidad, pero sí acota el riesgo inmediato. La solución que marca el INCIBE-CERT pasa por instalar las actualizaciones del fabricante hasta alcanzar el nivel de parche 2026-11-05 o posterior, disponible a partir de esa fecha.
El panorama de la ciberseguridad
Android funciona por capas: el código abierto del AOSP, el núcleo Linux y los componentes que cada fabricante añade en forma de módems, controladores y capas de virtualización. Esa arquitectura explica la composición del boletín. De los 216 CVE, 23 son críticos —cerca del 11% del total— y 193 se quedan en severidad alta. La proporción no es un detalle estadístico: marca cuántos fallos exigen actualización inmediata frente a los que admiten una ventana de días.
El modelo de niveles de parche nació precisamente para ordenar ese volumen. Un dispositivo que alcanza el nivel 2026-11-01 ha cerrado una parte del riesgo; solo el 2026-11-05 cubre todos los problemas del boletín. La verificación depende del fabricante, que decide cuándo y hasta dónde actualiza cada modelo, y del usuario, que debe comprobar en los ajustes del sistema qué nivel tiene instalado. La clasificación de Android, además, no gradúa la gravedad por el daño potencial abstracto, sino por el tipo de componente afectado y por las condiciones de explotación que el propio fabricante reconoce.
El trabajo de seguimiento que realiza el INCIBE-CERT —y que se materializa en avisos como el INCIBE-2026-823— alimenta las tareas de prevención de las unidades tecnológicas de la Policía Nacional y la Guardia Civil, la Brigada de Investigación Tecnológica y el Grupo de Delitos Telemáticos, que trasladan estas alertas a la investigación de fraudes, campañas de explotación y programas maliciosos para dispositivos móviles. La próxima cita del calendario es el boletín de diciembre de 2026; hasta entonces, el nivel de parche 2026-11-05 es la referencia para saber si un terminal está al día.
