vulnerabilidades
El 15 de septiembre de este año, Google publicó detalles de parches para 110 vulnerabilidades en sus propios teléfonos inteligentes Google Pixel. Entre todos los fallos divulgados, CVE-2026-58704 es el que más se destaca, ya que parece que este día cero se está aprovechando en ataques dirigidos.
En esta publicación, hablamos sobre qué hace tan especiales a los Google Pixel y por qué estos dispositivos reciben actualizaciones de seguridad propias, independientes de las actualizaciones habituales de Android. También analizamos las vulnerabilidades abordadas en esta última actualización, con especial atención a la más peligrosa de ellas, CVE-2026-58704, y terminamos con consejos sobre cómo proteger tu dispositivo y evitar ser víctima de un ciberataque en él.
¿Por qué los teléfonos Google Pixel reciben actualizaciones de seguridad independientes de las de Android?
Es razonable que te preguntes: “Ya instalé las actualizaciones de seguridad de Android de este mes en mi Google Pixel. ¿No es lo mismo?” Google Pixel se ejecuta en Android y recibe esas actualizaciones de seguridad, que se detallan en el Boletín de seguridad de Android mensual. Sin embargo, los fabricantes de dispositivos basados en Android utilizan diferentes conjuntos de componentes de hardware y software. Es por eso que, junto con las vulnerabilidades comunes a todos los dispositivos Android, existen problemas de seguridad específicos de los dispositivos de los fabricantes individuales.
Para sus propios teléfonos inteligentes, Google publica actualizaciones de seguridad por separado, que se detallan en un Boletín de actualizaciones de Pixel específico. En lugar de reemplazar el Boletín de seguridad de Android, este documento lo complementa al detallar las vulnerabilidades específicas de los dispositivos fabricados por Google. Otros teléfonos inteligentes Android también reciben actualizaciones similares de sus fabricantes.
El Boletín de actualizaciones de Pixel de septiembre de 2026 muestra claramente por qué Google necesita actualizaciones por separado para sus teléfonos inteligentes. Muchas de las vulnerabilidades que corrige afectan a componentes específicos de hardware de Pixel (o relacionados con el hardware): el módem, el cargador de arranque, la GPU, los componentes del escáner de huellas digitales y otras partes del dispositivo. En los teléfonos inteligentes de otros fabricantes, estas funciones pueden depender de componentes de hardware y software completamente diferentes, por lo que las correcciones enumeradas en el Boletín de actualizaciones de Pixel no se aplican a esos teléfonos.
Dicho esto, estas vulnerabilidades aún podrían ser relevantes para los propietarios de Pixel que han actualizado sus dispositivos con ROM personalizadas. Cambiar a un sistema operativo diferente no altera los componentes de hardware del dispositivo, y es posible que no reemplace el firmware. Por lo tanto, las vulnerabilidades en sí mismas pueden persistir, pero la disponibilidad de los parches y la forma en que se instalan dependen del sistema operativo específico.
CVE-2026-58704: una vulnerabilidad de día cero que se está aprovechando activamente en la práctica
Ahora veamos más de cerca las vulnerabilidades específicas que Google ha solucionado en septiembre. La más significativa es la CVE-2026-58704 antes mencionada.
Esta vulnerabilidad afecta al componente Módem celular, que maneja la comunicación del teléfono inteligente con las redes celulares. Proviene de un error lógico en el código que, en determinadas condiciones, permite omitir la verificación de permisos prevista.
El correcto aprovechamiento de la CVE-2026-58704 permite a los atacantes escalar los privilegios en el teléfono inteligente para obtener un acceso más amplio a sus funciones y datos. Ten en cuenta que el ataque tiene lugar a través de una red móvil y que los actores de amenazas necesitan privilegios de bajo nivel en el dispositivo de destino para empezar.
En la práctica, esto significa que los atacantes no pueden aprovechar la CVE-2026-58704 para atacar un Pixel desde cualquier lugar a través de Internet, ya que, al parecer, necesitarían vulnerar la red móvil a la que ya está conectado el teléfono inteligente objetivo o, lo que parece más probable, forzarlo a conectarse a una estación base maliciosa bajo su control.
Google aún no ha revelado todos los detalles de esta vulnerabilidad, y el informe relacionado no es de acceso público. Como consecuencia, los detalles técnicos que permitirían determinar cómo de fácil es para los atacantes aprovechar la CVE-2026-58704 siguen sin conocerse, hasta que se instalen los parches en todos los dispositivos.
Sin embargo, Google afirma que hay indicios de un aprovechamiento limitado de la CVE-2026-58704.
Lo que sabemos sobre las otras 109 vulnerabilidades
De las 109 vulnerabilidades restantes encontradas en dispositivos Google Pixel, solo una se califica como moderada; las otras son altas (62) o completamente críticas (46). Nueve de estos fallos entran en la categoría RCE (ejecución remota de código). Esto significa que, si un atacante aprovecha correctamente una de estas vulnerabilidades, puede forzar de forma remota al dispositivo a ejecutar un código malicioso. Las condiciones exactas para el ataque dependen de la vulnerabilidad específica.
Otras 88 vulnerabilidades corresponden a la categoría de escalada de privilegios (EoP). Estas permiten que un atacante que ya haya obtenido un cierto nivel de acceso al dispositivo expanda sus privilegios. La vulnerabilidad CVE-2026-58704 abordada anteriormente corresponde a esta misma categoría, razón por la cual el Boletín de septiembre enumera 89 vulnerabilidades de EoP en total.
Por último, 10 vulnerabilidades pueden llevar a la divulgación de información (ID) y dos más a la denegación de servicio (DoS). En resumen, esa es una gran lista de fallos, por lo que los propietarios de Google Pixel no deberían esperar para instalar los parches.
Cómo evitar convertirte en víctima
Los propietarios de Google Pixel pueden instalar la actualización que corrige las vulnerabilidades analizadas en esta publicación siguiendo esta ruta: Configuración → Seguridad y privacidad → Sistema y actualizaciones → Actualización de seguridad → Instalar. Ten en cuenta que el teléfono se reiniciará automáticamente para finalizar la instalación de la actualización.
Para mantener tu teléfono seguro, recomendamos las siguientes medidas generales:
- Instala actualizaciones de seguridad en tu teléfono de manera regular y rápida, ya sea un Google Pixel, un teléfono inteligente Android de un fabricante diferente o incluso un iPhone.
- Evita instalar aplicaciones de fuentes no oficiales.
- Lee las reseñas antes de instalar aplicaciones de las tiendas oficiales, ya que el malware tampoco es infrecuente allí. Los usuarios que ya han tenido una mala experiencia suelen alertar sobre ello en las reseñas mucho antes de que los moderadores de la tienda lleguen a eliminar la aplicación peligrosa.
- Instala una solución de seguridad fiable que te impida descargar malware y te advierta sobre actividades sospechosas en tu dispositivo.
