Boletín de seguridad de Android de octubre de 2026

Bo­le­tín de se­gu­ri­dad de An­dro­id de oc­tu­bre de 2026 Mié, 07/10/2026 - 09:01 Aviso Re­cur­sos Afec­ta­dos Dis­po­si­ti­vos con las si­guien­tes ver­sio­nes de An­dro­id, en fun­ción de cada vul­ne­ra­bi­li­dad: An­dro­id 14; An­dro­id 15; An­dro­id 16; An­dro­id 16 QPR2; An­dro­id 17. Des­crip­ción Goo­gle ha pu­bli­ca­do 25 vul­ne­ra­bi­li­da­des: 7 de se­ve­ri­dad crí­ti­ca y 18 de se­ve­ri­dad alta que, en caso de ser ex­plo­ta­das, po­drían per­mi­tir la ele­va­ción de pri­vi­le­gios, la eje­cu­ción re­mo­ta de có­di­go, la di­vul­ga­ción de in­for­ma­ción o pro­vo­car una de­ne­ga­ción de ser­vi­cio (DoS). Iden­ti­fi­ca­dor INCIBE-2026-711 So­lu­ción Ac­tua­li­zar los dis­po­si­ti­vos An­dro­id a un nivel de par­che de se­gu­ri­dad del 1 de oc­tu­bre de 2026 o pos­te­rior. Tam­bién se re­co­mien­da ins­ta­lar las ac­tua­li­za­cio­nes del sis­te­ma de Goo­gle Play dis­po­ni­bles para el dis­po­si­ti­vo. De­ta­lle CVE-2026-58865 : vul­ne­ra­bi­li­dad en va­rias fun­cio­nes de Pdu­Par­ser.java , pro­vo­ca­da por la au­sen­cia de una com­pro­ba­ción de lí­mi­tes. Un ata­can­te re­mo­to po­dría cau­sar una de­ne­ga­ción de ser­vi­cio per­sis­ten­te sin ne­ce­si­tar pri­vi­le­gios adi­cio­na­les ni in­ter­ac­ción del usua­rio. CVE-2026-55269 : va­li­da­ción inade­cua­da de datos en la fun­ción Fil­ter­Cap­tu­red­Pac­ket de snoop_log­ger.cc . Su ex­plo­ta­ción po­dría per­mi­tir una ele­va­ción local de pri­vi­le­gios sin in­ter­ac­ción del usua­rio. CVE-2026-55280 : es­cri­tu­ra fuera de lí­mi­tes pro­vo­ca­da por el uso de datos no ini­cia­li­za­dos. Su ex­plo­ta­ción po­dría per­mi­tir una ele­va­ción local de pri­vi­le­gios. CVE-2026-58835 : des­bor­da­mien­to de búfer ba­sa­do en me­mo­ria di­ná­mi­ca en la fun­ción cfg2prop de btif_sto­ra­ge.cc . Su ex­plo­ta­ción po­dría per­mi­tir una ele­va­ción local de pri­vi­le­gios. CVE-2026-58880 : con­di­ción de ca­rre­ra en la fun­ción hand­le_app_val_res­pon­se de btif_rc.cc . Su ex­plo­ta­ción po­dría per­mi­tir eje­cu­tar có­di­go y ele­var pri­vi­le­gios en el dis­po­si­ti­vo. CVE-2026-49933 : des­re­fe­ren­cia de un pun­te­ro no ini­cia­li­za­do en la fun­ción hand­le_le_mo­ni­tor_de­vi­ce_event del pro­ce­so Blue­tooth pri­vi­le­gia­do. Su ex­plo­ta­ción po­dría al­te­rar el flujo de eje­cu­ción y pro­vo­car una de­ne­ga­ción de ser­vi­cio. CVE-2026-55265 : lec­tu­ra fuera de lí­mi­tes en va­rias fun­cio­nes de Pdu­Par­ser.java . Un ata­can­te re­mo­to po­dría pro­vo­car una de­ne­ga­ción de ser­vi­cio sin in­ter­ac­ción del usua­rio. Para las vul­ne­ra­bi­li­da­des de se­ve­ri­dad alta se han asig­na­do los iden­ti­fi­ca­do­res CVE-2026-55270, CVE-2026-58815, CVE-2026-58841, CVE-2026-58854, CVE-2026-58856, CVE-2026-58834, CVE-2026-49878, CVE-2026-45513, CVE-2026-49880, CVE-2026-49885, CVE-2026-55286, CVE-2026-28667, CVE-2026-45516, CVE-2026-45524, CVE-2026-49937, CVE-2026-55266, CVE-2026-55279 y CVE-2026-58859. 5 - Crí­ti­ca Lis­ta­do de re­fe­ren­cias Bo­le­tín de se­gu­ri­dad de An­dro­id de oc­tu­bre de 2026 Eti­que­tas Ac­tua­li­za­ción An­dro­id Có­di­go ar­bi­tra­rio De­ne­ga­ción de ser­vi­cio - DoS - DDoS + Es­ca­la­da de pri­vi­le­gios Móvil Sis­te­ma ope­ra­ti­vo Vul­ne­ra­bi­li­dad - CVE Iden­ti­fi­ca­dor CVE Se­ve­ri­dad Ex­plo­ta­ción Fa­bri­can­te CVE-2026-58865 Crí­ti­ca No GOOGLE CVE-2026-55269 Crí­ti­ca No GOOGLE CVE-2026-55280 Crí­ti­ca No GOOGLE CVE-2026-58835 Crí­ti­ca No GOOGLE CVE-2026-58880 Crí­ti­ca No GOOGLE CVE-2026-49933 Crí­ti­ca No GOOGLE CVE-2026-55265 Crí­ti­ca No GOOGLE…