La actualización de Android de noviembre corrige un fallo que no necesita ni un toque
Google publicó su boletín de seguridad de Android de noviembre el lunes 2 de noviembre, y la primera entrada es de las que importan: CVE-2026-58868, un desbordamiento de montículo en una parte del Framework que decodifica fotogramas de vídeo. Google la califica de crítica porque podría permitir a un atacante ejecutar código en un móvil a distancia, sin permisos adicionales y sin que tú hagas nada. Afecta a Android 14, 15, 16 y 17. Google no ha explicado cómo llegaría un atacante al código defectuoso y, hasta el miércoles, no se conocían ataques que la aprovecharan.
Es una de 216 correcciones, 23 de ellas críticas, entre ellas dos en el Bluetooth y una tanda en el código de los chips de MediaTek y Qualcomm. El boletín también recoge oficialmente CVE-2026-58882, el fallo "SMS of Death" del que hablamos el lunes. Su corrección ya se había distribuido discretamente en octubre, y ahora consta por escrito.
¿Por qué darse prisa si nadie la está explotando? Porque, en cuanto una corrección se hace pública, los atacantes trabajan hacia atrás desde ella. Esta semana la empresa de seguridad Sekoia describió una campaña que atribuye a APT29, el grupo ruso también conocido como Midnight Blizzard, que colocó código de explotación en webs hackeadas y en imitaciones de webs reales. Los móviles que las visitaban eran analizados y atacados de forma automática, sin necesidad de tocar nada. Todos los fallos utilizados estaban ya corregidos. Las víctimas eran iPhone que seguían en iOS 16.7 o 18.5 y móviles Android con Chrome en las versiones 139 a 145, y los atacantes buscaban datos de WhatsApp y Telegram, contraseñas guardadas, fotos y ubicación.
Así que entra en Ajustes, luego Información del teléfono, y busca la fecha de la actualización de seguridad de Android. Necesitas como mínimo 2026-11-01, y 2026-11-05 cubre todo el boletín. Cuándo llega lo decide el fabricante de tu móvil: si aún no está, vuelve a mirar la semana que viene y, de paso, actualiza Chrome desde Play Store. En el PC, la búsqueda de actualizaciones de Tendvane y sus actualizaciones de aplicaciones mediante winget hacen lo mismo: te muestran las correcciones que ya existen pero que todavía no se han instalado.