La alerta que INCIBE-CERT publicó el 3 de noviembre de 2026 resume el boletín de seguridad de Android de noviembre: 216 vulnerabilidades con identificador CVE, 23 críticas y 193 altas. El nivel de parche 2026-11-05 o posterior cubre todos los problemas enumerados; 2026-11-01 cubre solo el primer grupo de correcciones, según la alerta de INCIBE-CERT.
Qué recoge el boletín de noviembre
La alerta menciona Android 14, 15, 16, 16 QPR2 y 17 en relación con componentes de AOSP, el proyecto de código abierto de Android. La versión afectada depende de cada CVE. El boletín también incluye fallos del núcleo Linux y de componentes de proveedores como MediaTek y Qualcomm.
El aviso de octubre contabilizaba 25 vulnerabilidades. El resumen de NeoTeo sobre el boletín de Android de octubre ofrece contexto para esta nueva entrega mensual.
Qué nivel de parche cubre todos los problemas
El nivel 2026-11-01 cubre el primer grupo de correcciones. Para cubrir todos los problemas enumerados en el boletín, el nivel debe ser 2026-11-05 o posterior. INCIBE-CERT recomienda instalar las actualizaciones del fabricante hasta alcanzar ese nivel. Para comprobarlo en tu teléfono, revisa el nivel de parche de seguridad instalado.
Los CVE críticos tienen efectos distintos
Tres fallos de Android Framework, CVE-2026-58868, CVE-2026-58876 y CVE-2026-58936, podrían permitir la ejecución remota de código sin privilegios adicionales ni interacción del usuario. Esa descripción no se aplica automáticamente a los demás CVE críticos.
Ocho CVE críticos afectan a módems MediaTek. El escenario de escalada de privilegios que describe INCIBE-CERT requiere que el dispositivo se conecte a una estación base controlada por un atacante. También hay dos vulnerabilidades críticas de escalada de privilegios relacionadas con el manejo de conexiones Bluetooth en el núcleo Linux. Los fallos, por tanto, tienen efectos y condiciones diferentes.
Qué significa el estado de explotación
Cuando INCIBE-CERT publicó la alerta, el 3 de noviembre, su tabla marcaba como no explotados los 23 CVE críticos. El aviso advertía que ese estado podía cambiar.
Los 23 CVE críticos representan aproximadamente el 10,6 % de las 216 entradas del boletín. Esa proporción describe cuántas vulnerabilidades recibieron la clasificación crítica; no mide la probabilidad de que un teléfono sea comprometido.
