Google ha corregido en el boletín de seguridad de Android de noviembre de 2026 dos vulnerabilidades críticas en el componente System que permiten la ejecución remota de código sin que la víctima tenga que hacer nada: ni abrir un archivo, ni pulsar un enlace, ni conceder ningún permiso. Afectan a Android 14, 15, 16, 16-qpr2 y 17. Lo recoge el propio boletín oficial de seguridad de Android.Lo que convierte estos fallos en serios no es solo su gravedad, sino esa ausencia de interacción: el boletín dice literalmente que «no se necesita interacción del usuario para la explotación».¿Qué fallos son y a quién afectan?Son dos vulnerabilidades de ejecución remota de código, identificadas como CVE-2026-58876 y CVE-2026-58936, ambas de gravedad crítica en el componente System. Según el boletín, pueden llevar a la ejecución remota de código «sin necesidad de privilegios de ejecución adicionales», lo que significa que un atacante no requiere que el dueño del móvil haga nada para aprovecharlas.El componente System es parte del núcleo del sistema operativo, de modo que un fallo ahí es especialmente delicado. Una de las dos, la CVE-2026-58876, aparece además en el apartado de actualizaciones del sistema vía Google Play, dentro de los códecs multimedia (Media Codecs). El boletín no menciona que ninguna de las dos esté siendo explotada de forma activa, lo que da margen para actualizar antes de que aparezca un ataque real.¿Qué tienes que hacer tú?Comprobar el nivel de parche de seguridad de tu móvil y actualizar en cuanto el fabricante lo ofrezca. Google distingue dos niveles en este boletín, 2026-11-01 y 2026-11-05, y señala que los dispositivos con el nivel 2026-11-05 o posterior corrigen todos los problemas descritos.Ese es justo el punto débil de Android: Google publica el parche, pero quien decide cuándo (o si) te llega es el fabricante de tu teléfono. Un Pixel lo recibe casi de inmediato; otros móviles tardan semanas o no lo reciben nunca, un problema que se agrava en cuanto tu móvil u ordenador deja de recibir actualizaciones y te quedas sin parches de seguridad. El nivel de parche se consulta en los ajustes del teléfono, en la sección de seguridad o de información del sistema.Mi lectura es que el titular que importa no es «dos fallos críticos», porque de esos hay casi todos los meses, sino «sin interacción del usuario». Esa categoría de ataque, el llamado zero-click, es la que se usa contra objetivos concretos porque no deja al usuario ninguna oportunidad de defenderse con sentido común: no hay enlace sospechoso que no pulsar. Es la misma lógica de los ataques de software espía que Apple ha detectado contra usuarios de 99 países. Que Google los haya tapado antes de ver explotación activa es la buena noticia. La mala es que, para millones de móviles Android, «parche disponible» y «parche instalado» seguirán siendo dos cosas distintas durante semanas.La noticia Google tapa en Android dos fallos críticos que no necesitan que el usuario toque nada fue publicada originalmente en Wwwhatsnew.com por Natalia Polo.