En el marco del boletín de seguridad de Android de junio de 2026, Google ha corregido 124 vulnerabilidades, una de las cuales — CVE-2025-48595 — ya está siendo explotada activamente por atacantes. La vulnerabilidad permite una escalada de privilegios en dispositivos con Android 14, 15, 16 y 16 QPR2 sin necesidad de ninguna interacción por parte del usuario. Los propietarios de los dispositivos afectados deben instalar las actualizaciones de seguridad en cuanto les sea posible.
Detalles técnicos de CVE-2025-48595
La vulnerabilidad afecta al componente Framework del sistema operativo Android. Según la entrada en el registro CVE, la causa raíz del problema es un integer overflow (desbordamiento de enteros), presente en varios puntos del código. La explotación de este fallo abre la posibilidad de ejecutar código arbitrario con la consiguiente escalada local de privilegios.
Características clave de la vulnerabilidad:
- CVE ID: CVE-2025-48595 (NVD)
- Puntuación CVSS: 8.4 (alta gravedad)
- Tipo: escalada local de privilegios (Local Privilege Escalation)
- Vector: integer overflow que conduce a ejecución de código
- Interacción del usuario: no requerida
- Privilegios adicionales para la explotación: no requeridos
- Versiones afectadas: Android 14, Android 15, Android 16, Android 16 QPR2
- Estado de explotación: explotación activa confirmada en ataques reales
El hecho de que no se requiera interacción por parte del usuario ni privilegios adicionales hace que esta vulnerabilidad sea especialmente peligrosa. Al atacante le basta con entregar código malicioso al dispositivo: la cadena de explotación subsecuente se activa automáticamente.
Alcance de la actualización y estructura de los parches
Google ha publicado dos niveles de correcciones de seguridad:
- 2026-06-01 — conjunto básico de parches, que incluye correcciones para los componentes Framework y System
- 2026-06-05 — conjunto ampliado, que contiene todas las correcciones del primer nivel, así como parches para el kernel y los componentes de fabricantes externos de chipsets: Imagination Technologies, MediaTek, Qualcomm y Unisoc
Además de CVE-2025-48595, en el componente System se ha corregido una serie de vulnerabilidades, entre las cuales las más graves también permiten una escalada local de privilegios sin derechos de ejecución adicionales. El total de 124 vulnerabilidades corregidas pone de manifiesto un trabajo de gran alcance para reforzar la seguridad de la plataforma.
Evaluación del impacto
El rango de versiones afectadas — desde Android 14 hasta Android 16 QPR2 — implica que una parte significativa de la base activa de dispositivos Android se encuentra en riesgo. Google ha confirmado indicios de «explotación limitada y dirigida» de CVE-2025-48595, sin revelar detalles sobre atacantes concretos, víctimas o el alcance de la campaña.
La naturaleza de la vulnerabilidad — una escalada de privilegios sin interacción del usuario mediante un integer overflow en el componente básico Framework — la convierte en una herramienta atractiva para ataques dirigidos contra personas concretas. Este tipo de vulnerabilidades tienen mayor valor precisamente en operaciones puntuales, donde son clave la discreción y la mínima implicación de la víctima.
Recomendaciones
Para minimizar los riesgos se recomienda:
- Instalar la actualización de seguridad hasta un nivel no inferior a 2026-06-05, que incluye el conjunto completo de correcciones, también para el kernel y los chipsets. Es posible comprobar el nivel actual en el apartado «Ajustes → Acerca del teléfono → Versión de Android / Actualización de seguridad».
- Para los dispositivos que aún no han recibido la actualización del fabricante, limitar la instalación de aplicaciones desde fuentes de terceros y minimizar el uso de funciones privilegiadas hasta recibir el parche.
- Para administradores de parques corporativos de dispositivos, priorizar la distribución de la actualización de junio a través de sistemas de gestión de dispositivos móviles (MDM), especialmente en dispositivos con acceso a datos confidenciales.
- Hacer un seguimiento de la disponibilidad de actualizaciones por parte de los fabricantes de dispositivos (Samsung, Xiaomi, OnePlus y otros), que integran los parches de AOSP en sus propias ROM con un retraso de entre varios días y varias semanas.
Teniendo en cuenta la explotación activa confirmada de CVE-2025-48595 y la ausencia de necesidad de interacción del usuario, la instalación de la actualización de seguridad de Android de junio debe considerarse una tarea prioritaria. Los dispositivos con Android 14–16 QPR2 que no hayan recibido el parche de nivel 2026-06-05 siguen siendo vulnerables frente a ataques que ya se han observado en condiciones reales.
