Google parchea una falla crítica de Android con RCE sin interacción del usuario

CVE-2026-58868 afecta Android 14 a 17. El arreglo llega con el nivel de parche 2026-11-01 o posterior.

Google publicó en el boletín de seguridad de noviembre un fallo crítico de Android que podría permitir ejecutar código en un teléfono de forma remota sin que el usuario haga nada, informó The Hacker News el 4 de noviembre de 2026.

Se trata de CVE-2026-58868 y afecta Android 14 a 17. El arreglo llega con el nivel de parche de seguridad 2026-11-01 o posterior, que fabricantes y operadores envían a su ritmo.

Al 4 de noviembre el boletín no reportaba ataques en curso. Ninguno de los fallos del mes estaba en el catálogo KEV de CISA al 3 de noviembre. El fallo es una escritura fuera de límites por desbordamiento de búfer en heap en FrameDecoder.cpp. Ni el boletín ni el CVE detallan cómo se alcanza ese código.

Android 12 y 13 no figuran como afectados. Otra falla crítica, CVE-2026-58882, podría causar denegación de servicio remota vía mensajes WAP Push por SMS. Google no ofrece mitigación si el teléfono aún no puede actualizar.

Fuente: The Hacker News: «Google Issues Patches for Critical Android Flaw That Could Allow RCE Without User Interaction», 4 de noviembre de 2026.