Boletín de seguridad de Android: noviembre 2026
El boletín identifica Android 14, 15, 16, 16-qpr2 y 17 para los componentes AOSP, según el CVE, además del núcleo Linux y componentes de MediaTek, Qualcomm y otros proveedores.
Google ha publicado el boletín de seguridad de Android de noviembre de 2026, que recoge 216 CVE distintos: 23 críticos y 193 altos según la clasificación específica de Android. El fallo más grave de Framework podría permitir ejecución remota de código sin privilegios adicionales ni interacción del usuario.
Instalar las actualizaciones del fabricante del dispositivo hasta alcanzar un nivel de parche de seguridad 2026-11-05 o posterior, que resuelve todos los problemas del boletín. El nivel 2026-11-01 cubre únicamente el primer grupo de correcciones.
Ejecución remota de código
- CVE-2026-58868: un desbordamiento de búfer en el montículo de FrameDecoder.cpp permite escribir fuera de límites.
- CVE-2026-58876 y CVE-2026-58936: uso de memoria después de liberarla en componentes del sistema y en png_set_tRNS, respectivamente.
Los 3 fallos podrían permitir ejecutar código remoto sin privilegios adicionales ni interacción del usuario.
Elevación de privilegios
- CVE-2026-55275 y CVE-2026-55283: uso de memoria después de liberarla que podría permitir elevar privilegios remotamente.
- CVE-2026-58984: corrupción de memoria que podría permitir elevar privilegios localmente.
- CVE-2026-53256 y CVE-2026-89774: fallos en Bluetooth del núcleo Linux asociados al uso de conexiones sin conservar adecuadamente las referencias a sus sockets.
- CVE-2026-59044 y CVE-2026-59045: fallos de memoria y concurrencia en pKVM que podrían permitir elevar privilegios localmente.
- CVE-2026-80604: validación insuficiente del tamaño de informes HID, clasificada por Android como elevación de privilegios.
- CVE-2026-20499, CVE-2026-20519, CVE-2026-20520, CVE-2026-20545, CVE-2026-20546, CVE-2026-20547, CVE-2026-20548 y CVE-2026-20549: escrituras fuera de límites en módems MediaTek que podrían permitir elevar privilegios si el equipo se conecta a una estación base controlada por el atacante.
Denegación de servicio y divulgación de información
- CVE-2026-58814 y CVE-2026-58882: desbordamientos de enteros en el tratamiento de mensajes que podrían provocar denegación de servicio remota.
- CVE-2026-59048: lectura fuera de límites en pKVM que podría divulgar información local.
CVE-2026-25285 afecta a un componente de código cerrado de Qualcomm y se clasifica como crítica. El boletín de Android no publica su descripción técnica; no se atribuyen capacidades adicionales no verificadas.
| Identificador CVE | Severidad | Explotación | Fabricante |
|---|---|---|---|
| CVE-2026-58868 | Crítica | No | |
| CVE-2026-58876 | Crítica | No | |
| CVE-2026-58936 | Crítica | No | |
| CVE-2026-55275 | Crítica | No | |
| CVE-2026-55283 | Crítica | No | |
| CVE-2026-58984 | Crítica | No | |
| CVE-2026-58814 | Crítica | No | |
| CVE-2026-58882 | Crítica | No | |
| CVE-2026-53256 | Crítica | No | |
| CVE-2026-59044 | Crítica | No | |
| CVE-2026-59045 | Crítica | No | |
| CVE-2026-80604 | Crítica | No | |
| CVE-2026-89774 | Crítica | No | |
| CVE-2026-59048 | Crítica | No | |
| CVE-2026-20499 | Crítica | No | |
| CVE-2026-20519 | Crítica | No | |
| CVE-2026-20520 | Crítica | No | |
| CVE-2026-20545 | Crítica | No | |
| CVE-2026-20546 | Crítica | No | |
| CVE-2026-20547 | Crítica | No | |
| CVE-2026-20548 | Crítica | No | |
| CVE-2026-20549 | Crítica | No | |
| CVE-2026-25285 | Crítica | No |
