Autor: Seguridad CSIRT-CV

El boletín de seguridad de este mes aborda decenas de vulnerabilidades que afectan a distintos componentes del sistema Android, incluyendo Framework, System, Kernel y componentes de terceros. Estas fallas podrían permitir a un atacante llevar a cabo acciones como ejecución remota de código, elevación de privilegios, divulgación de información o denegación de servicio si son explotadas con éxito.

Como es habitual, Google ha publicado dos niveles de parche de seguridad (2026-04-01 y 2026-04-05), donde el segundo incluye todas las correcciones del primero junto con vulnerabilidades adicionales relacionadas con hardware y componentes específicos de fabricantes. Este enfoque permite a los fabricantes de dispositivos integrar progresivamente las actualizaciones.

Entre las vulnerabilidades más críticas se encuentran fallos en el componente System y en el Framework, que podrían permitir la ejecución de código sin necesidad de interacción del usuario en determinadas condiciones. Asimismo, se han corregido vulnerabilidades en el kernel de Linux y en controladores de fabricantes como Qualcomm o MediaTek, ampliando el alcance del parche.

Aunque no se ha confirmado explotación activa en el momento de la publicación, este tipo de vulnerabilidades suelen ser objetivo prioritario para atacantes, especialmente en dispositivos que no reciben actualizaciones de forma frecuente.

Vulnerabilidades relevantes

CVE-2026-0049
Producto: Android System
Descripción: vulnerabilidad de consumo incontrolado de recursos que podría provocar una denegación de servicio en el sistema afectado.

CVE-2026-0050
Producto: Android Framework
Descripción: vulnerabilidad que podría permitir la ejecución remota de código mediante el procesamiento de datos especialmente diseñados.

CVE-2026-0051
Producto: Android Kernel
Descripción: vulnerabilidad de elevación de privilegios que podría permitir a un atacante obtener permisos elevados en el sistema.

Recomendaciones

Se recomienda actualizar los dispositivos Android al nivel de parche de seguridad de abril de 2026 (2026-04-05) lo antes posible.

Fuentes

• https://www.incibe.es/incibe-cert/alerta-temprana/avisos/boletin-de-seguridad-de-android-de-abril-de-2026
• https://source.android.com/docs/security/bulletin/2026/2026-04-01?hl=en

El boletín de este mes corrige entre 45 y 47 vulnerabilidades, dependiendo del dispositivo, incluyendo 14 vulnerabilidades críticas, además de múltiples fallos de alta y moderada severidad.

Estas vulnerabilidades afectan a dispositivos Samsung que ejecutan Android 14, 15 y 16, e incluyen fallos en componentes del sistema Android, así como en desarrollos propios de Samsung (One UI y otros módulos internos).

Entre los problemas corregidos se encuentran vulnerabilidades de desbordamiento de búfer, lecturas/escrituras fuera de límites, consumo incontrolado de recursos y errores de validación de entrada, que podrían permitir a un atacante ejecutar código, provocar denegaciones de servicio o acceder a información sensible.

Además, el parche incluye correcciones específicas de Samsung, conocidas como SVE (Samsung Vulnerabilities and Exposures), que afectan a componentes como Samsung DeX, Device Care o funcionalidades de red, pudiendo permitir bypass de restricciones o acceso a información protegida en determinados escenarios.

Aunque no se ha confirmado explotación activa en el momento de su publicación, la presencia de múltiples vulnerabilidades críticas hace que esta actualización sea especialmente relevante para usuarios y entornos corporativos.

Vulnerabilidades relevantes

CVE-2026-0049
Producto: Android (afectando a dispositivos Samsung)
Descripción: vulnerabilidad de consumo incontrolado de recursos que podría provocar denegación de servicio en el sistema.

CVE-2025-64505 / CVE-2025-64720 / CVE-2025-65018
Producto: Android / componentes del sistema
Descripción: vulnerabilidades de lectura/escritura fuera de límites que podrían permitir acceso a memoria sensible o provocar fallos en el sistema.

CVE-2026-21006
Producto: Samsung DeX
Descripción: vulnerabilidad de control de acceso inadecuado que podría permitir a un atacante acceder a notificaciones ocultas bajo ciertas condiciones.

Recomendaciones

Se recomienda aplicar el parche de seguridad de abril de 2026 lo antes posible para mitigar posibles riesgos.

Fuentes

• https://www.incibe.es/incibe-cert/alerta-temprana/avisos/boletin-de-seguridad-de-samsung-abril-2026
• https://security.samsungmobile.com/securityUpdate.smsb?year=2026&month=04

Análisis

• CVE-2026-35616 – CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H – 9,8
   
  CVE?2026?35616 se origina en un defecto de control de acceso en la API del sistema, lo que permite que un actor no autenticado envíe solicitudes maliciosas que el servidor procesa sin validar correctamente su autorización. Esta deficiencia puede derivar en la ejecución remota de comandos, comprometiendo de manera directa la confidencialidad, integridad y disponibilidad de los sistemas gestionados.
   
  El mecanismo de explotación se basa en la capacidad de enviar peticiones manipuladas que el servidor EMS interpreta como válidas. Una vez ejecutadas, estas peticiones pueden otorgar al atacante control total sobre el servidor, incluyendo la modificación de políticas de seguridad y la gestión de endpoints. La vulnerabilidad es crítica debido a que no requiere privilegios previos ni interacción del usuario, y puede ser explotada desde cualquier ubicación con acceso a la red del servidor afectado. Esto aumenta significativamente el riesgo de compromiso de la infraestructura corporativa, incluyendo la posibilidad de movimientos laterales y exfiltración de información sensible.

Análisis

• CVE-2026-5281 se produce cuando el navegador continúa accediendo a regiones de memoria previamente liberadas, generando un estado de inconsistencia que puede ser aprovechado por un atacante para ejecutar código arbitrario.