El 2 de noviembre de 2026, Google publicó el boletín de seguridad de Android de noviembre. Corrige 216 vulnerabilidades, 23 de ellas críticas y 193 altas. La peor es un fallo en el componente Framework que permite a un atacante ejecutar código en un móvil a distancia, sin que su dueño toque nada y sin privilegios adicionales. Lo que tienes que hacer hoy es sencillo: pide a cada empleado que abre el correo de la empresa, WhatsApp Business o una app bancaria en un móvil Android que instale la actualización y que compruebe que la fecha de «Actualización de seguridad de Android» en Ajustes indica el 5 de noviembre de 2026 o posterior. Un móvil con Android 13 o anterior no recibirá este parche, porque el boletín solo cubre las versiones 14 a 17.
¿Qué corrigió Google exactamente?
Según el boletín de seguridad de Android de noviembre de 2026, las correcciones llegan en dos niveles. El nivel del 1 de noviembre cubre 119 vulnerabilidades, 8 de ellas críticas, en partes centrales del sistema como Framework, System y el entorno de ejecución. El nivel del 5 de noviembre cubre 97 vulnerabilidades, 15 de ellas críticas, en el kernel de Linux (31 fallos) y en componentes de fabricantes de chips: MediaTek (30), Qualcomm (17 entre partes abiertas y cerradas), Imagination (12), Unisoc (4) y Arm (3). Un móvil con el nivel del 5 de noviembre está protegido frente a los fallos de ambos niveles.
Google dice que el fallo más grave (CVE-2026-58868) podría permitir la ejecución remota de código sin privilegios de ejecución adicionales y sin interacción del usuario. La sección System contiene otros dos fallos críticos del mismo tipo (CVE-2026-58876 y CVE-2026-58936), además de tres fallos críticos de escalada de privilegios.
Un mensaje que corta la llamada: el fallo WAP Push
Entre los fallos críticos hay un error de denegación de servicio (CVE-2026-58882). El informe de CyberInsider explica que basta un único mensaje WAP Push malformado para bloquear el proceso de teléfono de Android, lo que corta las llamadas activas, incluidas las de emergencia, sin que el mensaje aparezca nunca en la bandeja de entrada ni el destinatario abra nada. Peor aún, los mensajes repetidos pueden provocar de nuevo el bloqueo incluso tras reiniciar. Lo tranquilizador: el informe no encontró explotación real hasta ahora. Pero el código de prueba de concepto es público, lo que significa que el plazo entre la divulgación y los ataques puede ser corto.
Imagina a un comercial o a un repartidor que vive pegado a su móvil todo el día, y cuyas llamadas se cortan cada vez que llega un mensaje que nunca ve. No es una filtración de datos, pero es el trabajo que se detiene.
¿Cuándo llega la actualización a los móviles Samsung?
Samsung publicó su versión de mantenimiento de seguridad de noviembre de 2026 el 3 de noviembre. Incluye las correcciones de Google y cuatro parches de Samsung Semiconductor, y afirma que añade 24 elementos específicos de Galaxy. Pero que el boletín esté publicado no significa que cada dispositivo reciba la actualización ese día: se despliega por oleadas según el modelo y la región, y algunos modelos más antiguos reciben actualizaciones de seguridad cada tres meses en lugar de cada mes. Así que no te conformes con «¿has actualizado?». Pide la fecha que aparece en Ajustes.
5 pasos para los móviles de tu empresa esta semana
- Haz la lista de móviles: cada móvil Android que un empleado usa para acceder al correo, los sistemas o las apps bancarias de la empresa, sea un móvil de empresa o el suyo propio.
- Revisa la fecha de seguridad: según la página de ayuda de Google, la encontrarás en Ajustes, en «Información del teléfono» o «Seguridad», con el nombre «Actualización de seguridad de Android». Lo que quieres es 2026-11-05 o posterior en cuanto esté disponible para el modelo.
- Instala también la actualización del sistema de Google Play: parte de las correcciones del 1 de noviembre llega a través de ella, y aparece en los mismos ajustes con su propia fecha.
- Trata los dispositivos antiguos como un riesgo conocido: un móvil atascado en Android 13 o anterior queda fuera de este boletín. Mantenlo lejos de las cuentas sensibles de la empresa y planifica su sustitución.
- Haz que la regla sea automática: herramientas de gestión de dispositivos como Microsoft Intune permiten fijar un nivel mínimo de parche de seguridad, de modo que un dispositivo más antiguo queda bloqueado para el correo y los sistemas hasta que se actualice.
¿Afecta esto a la app Android de tu empresa?
Estos fallos están en el propio sistema operativo, no en tu app, así que no necesitas cambiar tu código por ellos. Pero tu app funciona sobre ese sistema: si muestra datos de clientes o cobra pagos, un móvil sin parchear debilita la protección que construiste. Algunas apps bancarias usan la API Play Integrity para rechazar dispositivos inseguros, y las apps de negocio sensibles pueden hacer lo mismo. Y si distribuyes una app interna fuera de la tienda, lee también nuestro artículo sobre las restricciones de Google a la instalación desde fuera de la tienda.
La visión de Origami
La mayoría de las intrusiones no empiezan en el servidor de la empresa. Empiezan en el dispositivo de un empleado, que guarda su correo, sus mensajes y sus contraseñas. La actualización mensual es gratuita y lleva minutos, pero en una empresa donde nadie le hace seguimiento, no ocurre sola. Convierte la revisión de la fecha de seguridad en una parte fija del inicio de cada mes, como la revisión de los correos sospechosos que explicamos en nuestro artículo sobre los correos de phishing. Cuando creamos apps y sistemas a medida, añadimos una comprobación de integridad del dispositivo y de la versión del sistema antes de mostrar cualquier dato sensible. Si quieres una revisión de los dispositivos de tu equipo o de tu app, contáctanos o consulta nuestros servicios.
Fuentes
- Google — Android Security Bulletin, November 2026: número de vulnerabilidades, niveles de parche, componentes afectados y versiones de Android 14 a 17.
- Samsung — Mobile Security Updates (SMR Nov-2026): fecha de publicación, parches de Samsung Semiconductor y elementos de Galaxy.
- Google — Ayuda de Android: comprobar y actualizar la versión de Android: dónde está la fecha de actualización de seguridad en Ajustes.
- CyberInsider — Android November update and the WAP Push flaw: cómo funciona CVE-2026-58882 y la prueba de concepto pública.
Preguntas frecuentes
¿Cómo sé si mi móvil Android tiene la actualización de noviembre de 2026?
Abre Ajustes, luego «Información del teléfono» o «Seguridad», y busca «Actualización de seguridad de Android». Si la fecha es el 5 de noviembre de 2026 o posterior, el móvil está protegido frente a todos los fallos del boletín de noviembre; si es el 1 de noviembre, solo frente a una parte.
¿Llega la actualización de noviembre a un móvil con Android 13?
No. El boletín de Google de noviembre de 2026 solo cubre Android 14, 15, 16 y 17. Un móvil atascado en Android 13 o anterior sigue expuesto, así que mantenlo lejos de las cuentas sensibles de la empresa y planifica su sustitución.
¿Han explotado realmente los atacantes estos fallos?
El boletín de Google no menciona ninguna explotación real, y el informe de CyberInsider no encontró ninguna para el fallo WAP Push. Pero el código de prueba de concepto de ese fallo es público, así que es mejor actualizar esta semana que esperar.
¿Tengo que cambiar la app Android de mi empresa por estos fallos?
No, los fallos están en el sistema operativo, no en tu app. Pero si tu app muestra datos sensibles o cobra pagos, puedes añadir una comprobación de integridad del dispositivo con Play Integrity para rechazar dispositivos inseguros.
