Google publicó el 2 de noviembre de 2026 el boletín de seguridad de Android de noviembre, que enumera tres vulnerabilidades críticas de ejecución remota de código (RCE): una en Framework y dos en System. Las descripciones indican que no hace falta interacción del usuario para explotarlas.
Tres RCE críticas en Framework y System
El boletín asigna estos identificadores y componentes:
- CVE-2026-58868, en Framework.
- CVE-2026-58876 y CVE-2026-58936, en System.
Las tablas enumeran Android 14, 15, 16, 16-qpr2 y 17 para las tres vulnerabilidades. En el caso de CVE-2026-58868, Google también indica que no se necesitan privilegios de ejecución adicionales. La clasificación de gravedad parte del supuesto de que las mitigaciones de plataforma y servicios están desactivadas para desarrollo o se han eludido.
CVE-2026-58876 aparece además en la tabla de actualizaciones del sistema de Google Play, dentro de Media Codecs.
Qué cubre cada nivel de parche
Google define dos niveles para que los socios de Android puedan distribuir antes un subconjunto de correcciones compartidas entre dispositivos. Sus coberturas son distintas:
| Nivel de parche | Cobertura |
| 2026-11-01 | Los problemas asignados a este nivel. |
| 2026-11-05 o posterior | Todos los problemas aplicables del boletín de noviembre y de los boletines anteriores. |
Para identificar la cobertura completa del boletín, el nivel indicado es 2026-11-05 o una fecha posterior.
Un tutorial general de TechFix Guides, en inglés y publicado antes del boletín de noviembre, explica cómo consultar el nivel de parche y gestionar las actualizaciones.
La fecha del boletín y la distribución en cada móvil
El 2 de noviembre fecha la publicación del boletín. Google dice que avisa a los socios de Android al menos un mes antes; esos socios deciden cómo distribuir las correcciones aplicables a sus dispositivos. Por tanto, la fecha del boletín no indica cuándo recibe un teléfono concreto la actualización.
