A principios de junio de 2026, Google publicó su actualización de seguridad mensual para Android. En total, 124 vulnerabilidades corregidas, una de ellas de día cero ya explotada antes incluso de la difusión del parche. La cuarta en seis meses.
Una vulnerabilidad de día cero en el corazón del Android Framework
Entre los 124 fallos corregidos, uno destaca porque ya se estaba explotando en el momento del parche. Con la referencia CVE-2025-48595, se sitúa en el Android Framework, la capa de servicios del sistema con la que interactúan directamente las aplicaciones. Con una puntuación de 8,4 en la escala CVSS, se basa en un desbordamiento de entero que permite a un atacante local elevar sus privilegios hasta el nivel del sistema, sin ninguna acción del usuario. Afecta a las versiones Android 14, 15, 16 y 16 QPR2, es decir, a la gran mayoría de los dispositivos en circulación.
Un fallo de elevación de privilegios no abre por sí solo el acceso a un dispositivo: es un eslabón dentro de una cadena de ataque. El ciberdelincuente necesita primero un punto de entrada, a menudo una aplicación maliciosa u otra vulnerabilidad en el navegador o la mensajería. El fallo le sirve después para franquear las restricciones de la aplicación y alcanzar los privilegios del sistema. A partir de ahí, el resto del dispositivo queda accesible.
La criticidad de esta vulnerabilidad se confirmó más allá de Google. Ya el 2 de junio, la agencia estadounidense CISA había incluido el fallo en su catálogo de vulnerabilidades explotadas activamente, imponiendo a las agencias federales un plazo de remediación de solo tres días.
Cuatro fallos de día cero en seis meses
El caso de junio no es aislado. Ya en septiembre de 2025, dos días cero de Android se explotaban en el momento del parche. Desde entonces, el ritmo no ha bajado: dos nuevos fallos explotados en diciembre de 2025, uno en marzo de 2026 en el componente gráfico de los chips Qualcomm y el de junio. Es decir, cuatro días cero de Android explotados activamente y corregidos en seis meses.
Y la tendencia no se limita a Android. En su balance de 2025, el Google Threat Intelligence Group contabilizó 15 días cero móviles explotados en condiciones reales, sumando todos los dispositivos, frente a 9 en 2024. La explotación de vulnerabilidades móviles antes de su corrección se ha consolidado como un componente duradero del panorama de amenazas, y no como una alerta puntual.
Los parques móviles corporativos, en primera línea
Una vez comprometido el dispositivo por este tipo de fallos, todo lo que alberga queda en manos del atacante. En un teléfono profesional, eso significa el correo, las aplicaciones de negocio y los documentos sensibles de la empresa. Comprometer un solo dispositivo, sobre todo el de un directivo o de un empleado expuesto, abre una puerta directa a los datos de la organización.
Dos factores agravan la situación. Primero, la fragmentación de Android: fuera de los dispositivos Pixel, el boletín mensual tarda a menudo varias semanas en llegar a los terminales, o incluso más. La ventana en la que el fallo es público pero no está corregido sigue abierta, por tanto, en buena parte del parque. Después, el BYOD, que lleva a muchos empleados a trabajar desde su teléfono personal, sin garantía de actualización.
En marzo de 2026, en particular, el plazo entre la notificación del día cero de Qualcomm y la publicación de su parche alcanzó dos meses y medio, cuando el fallo ya se estaba explotando.
Actualizar ya no basta
Instalar el parche de junio es imprescindible, pero no siempre basta para proteger los datos corporativos en el móvil. Dados estos plazos de despliegue y los días cero explotados antes incluso de la difusión de un parche, esperar la actualización no puede seguir siendo la única línea de defensa.
La solución Pradeo Mobile Threat Defense detecta y neutraliza las amenazas en tiempo real, en todos los vectores, ya se trate del sistema operativo, de las aplicaciones o de la red. Así protege a los usuarios y sus dispositivos, incluidos los que no están actualizados o nunca recibirán un parche, y da a los equipos de seguridad visibilidad sobre el estado de cada terminal. Los datos de la empresa siguen protegidos, también en entornos BYOD.
