Parche de seguridad de Android de noviembre: 216 fallos

El parche de seguridad de Android de noviembre corrige 216 fallos en una sola entrega, 23 de ellos críticos. Google publicó el boletín el 2 de noviembre y lo actualizó el 6: el error más grave permite ejecutar código a distancia en el teléfono sin que el dueño toque nada, sin abrir un enlace y sin instalar una aplicación.

Ese error vive en el Framework, la capa que sostiene el sistema, y quedó registrado como CVE-2026-58868. Afecta a Android 14, 15, 16, su versión 16 QPR2 y 17. Son las versiones más usadas en República Dominicana: datos de octubre recogidos por Revista Mercado ponen a Android 16 al frente en el país con 26.08 %, seguido por Android 14 con 18.44 % y Android 15 con 18.07 %. La mayoría de los celulares dominicanos tiene arreglo disponible, si su fabricante libera la actualización.

🔥 Tendencia

Gómez Mazara pide más competencia tras la avería de Claro

El boletín se divide en dos niveles. El del 1 de noviembre reúne 119 correcciones: 65 en el Framework, 53 en el sistema y 1 en el entorno de ejecución. El del 5 suma 97 más en el núcleo y en piezas de chips: 31 del núcleo, 30 de MediaTek, 12 de Imagination, 17 de Qualcomm, 4 de Unisoc y 3 de Arm. El teléfono queda cubierto por completo solo cuando su nivel marca 2026-11-05 o fecha posterior.

Tres errores que no piden ni un toque

El sistema guarda otros dos errores críticos de ejecución remota, CVE-2026-58876 y CVE-2026-58936, ligados al manejo de audio, video e imágenes. Un archivo con trampa puede bastar para abrir la puerta, sin permisos extra y sin participación del usuario. El boletín añade seis fallos críticos en el núcleo, dos de ellos en el Bluetooth, y ocho críticos en los módems de MediaTek, la pieza que conecta el teléfono con la red de Claro, Altice o Viva.

El caso con nombre propio es otro. El investigador Mark Blaszczyk divulgó el 29 de octubre un fallo que bautizó como el mensaje de la muerte: un mensaje WAP Push, ese texto de datos que las telefónicas usan para configurar aparatos, puede tumbar el proceso que maneja las llamadas y la señal. La llamada en curso se corta, incluida una de emergencia, y el mensaje ni aparece en la bandeja de entrada. Google lo registró como CVE-2026-58882, lo marcó crítico y lo corrigió en este boletín para Android 14 a 17.

El punto flojo queda en los equipos viejos. Blaszczyk reprodujo el fallo en Android 12 y Android 13, pero el boletín no lista arreglo para esas versiones, fuera ya de su ventana de soporte. En República Dominicana ese grupo no es pequeño: Android 13 conserva 13.45 % de uso y Android 12 otro 8.84 %. Quien tenga un teléfono así depende de que su fabricante publique una corrección propia, algo que Google no ha anunciado.

Cómo saber si tu teléfono ya está cubierto

La comprobación toma un minuto. En Ajustes se entra a Acerca del teléfono, luego a Versión de Android, y ahí se lee la fecha de la actualización de seguridad. Si marca 5 de noviembre de 2026 o posterior, el equipo tiene los 216 arreglos. Si marca 1 de noviembre, tiene los 119 de la plataforma y le faltan los de los chips. Con fecha de octubre o anterior, el teléfono sigue expuesto a todo el boletín.

Google publica el boletín, pero cada marca reparte el parche a su ritmo. Los Pixel lo reciben primero y el resto lo libera por modelos en las semanas siguientes, una espera parecida a la del calendario de HyperOS 4 con Android 17 para 82 equipos Xiaomi publicado esta misma semana. Google no marca ninguno de los 216 fallos como explotado en ataques reales: el arreglo existe antes de que el ataque se conozca, y esa ventaja se pierde cada semana sin actualizar.

Fuente: Google — Proyecto de Código Abierto de Android