Un zero-day en el kernel de gráficos de Qualcomm (CVE-2026-21385), con puntuación CVSS de 7.8, está siendo explotado en ataques dirigidos posiblemente vinculados a spyware comercial o grupos estatales. Google confirmó su explotación limitada, similar a casos previos de herramientas de vigilancia. Qualcomm ya distribuyó parches a fabricantes, pero su despliegue depende de los OEM, retrasando la protección en dispositivos Android.

•  La actividad de explotación contra CVE-2026-21385, un fallo de corrupción de memoria de alta gravedad, podría estar vinculada a spyware comercial o grupos de amenazas estatales.

Un nuevo error de Qualcomm ha sido explotado en ataques limitados y dirigidos contra dispositivos Android vulnerables. Google publicó su boletín de seguridad mensual de Android el 2 de marzo con, como es habitual, una serie de vulnerabilidades que afectan a los dispositivos del ecosistema. Entre los más de 100 CVE listados, destacan dos en particular.

Uno es el CVE-2026-21385, una vulnerabilidad de alta gravedad en el kernel de gráficos de Qualcomm que afecta a una amplia gama de chipsets. Aunque hay pocos detalles disponibles, se trata de un problema de desbordamiento de enteros (integer overflow) que requiere acceso local para ser explotado. En su propio boletín, Qualcomm lo describe como "corrupción de memoria al utilizar alineaciones para la asignación de memoria". El fallo, que recibió una puntuación CVSS de 7.8, fue añadido este lunes al catálogo de Vulnerabilidades Explotadas Conocidas (KEV) de la CISA.

¿Posible ataque de spyware?

La razón por la que el CVE-2026-21385 destaca es que Google afirmó en el boletín de Android: "Existen indicios de que el CVE-2026-21385 puede estar bajo una explotación limitada y dirigida". No está claro qué significa exactamente "explotación limitada y dirigida", y Dark Reading se ha puesto en contacto tanto con Google como con Qualcomm para obtener información adicional.

Sin embargo, Adam Boynton, gerente senior de estrategia de seguridad en Jamf, señala que, aunque se debe ser cuidadoso con las especulaciones, este "es el lenguaje específico que Google utiliza cuando la actividad es demasiado estrecha para ser una infraestructura criminal, pero demasiado deliberada para ser oportunista". Es decir, posiblemente un actor estatal o un proveedor de vigilancia comercial.

"El CVE-2024-43047 —otro zero-day de Qualcomm— utilizó el mismo lenguaje cuando fue revelado, y más tarde fue vinculado a herramientas de spyware comercial a través del Laboratorio de Seguridad de Amnistía Internacional", dice Boynton. "Eso no es una confirmación de que ocurra lo mismo aquí, pero el perfil es consistente. No sabemos quién está detrás de esto, pero la forma en que Google y Qualcomm lo describen dice algo sobre lo que creen que están viendo".

La otra vulnerabilidad notable de este mes es el CVE-2026-0047, un fallo crítico de escalada de privilegios local en el componente System de Android "que podría permitir la ejecución remota de código sin necesidad de privilegios de ejecución adicionales", según el boletín. Tampoco se requiere interacción del usuario. El fallo se debe a una falta de verificación de permisos en dumpBitmapsProto de ActivityManagerService.java.

"La evaluación de gravedad se basa en el efecto que tendría la explotación de la vulnerabilidad en un dispositivo afectado, asumiendo que las mitigaciones de la plataforma y del servicio están desactivadas para fines de desarrollo o si se eluden con éxito", advirtió Google.

Boynton afirma que el hecho de que un atacante ya necesite estar en el dispositivo para utilizarlo ofrece una barrera significativa, razón por la cual probablemente aún no ha sido explotado de forma masiva. Se utilizaría como parte de un ataque en cadena en lugar de uno independiente.

"Alguien obtiene acceso inicial a través de un enlace de phishing, una aplicación maliciosa o un RCE como el CVE-2026-0006, y luego utiliza la escalada para profundizar y persistir", explica. "La pregunta no es realmente si será explotado, sino si será visible cuando ocurra. Estas técnicas encadenadas son más difíciles de atribuir y a menudo solo salen a la luz en análisis forenses tras el incidente, mucho después de que el daño ya esté hecho".

La complejidad de parchear fallos en Android

Los parches para el CVE-2026-21385 ya están disponibles, y Qualcomm afirma que se están compartiendo con los fabricantes de equipos originales (OEM) pertinentes, a quienes "se les ha notificado y recomendado encarecidamente que desplieguen dichos parches en los dispositivos comercializados lo antes posible". Los parches para el CVE-2026-0047 también están disponibles a través del Android Open Source Project (AOSP).

Un problema a considerar es que los fallos de Android, especialmente los de Qualcomm, dependen de los OEM a nivel de usuario final. Como señala Boynton, esto significa que los consumidores dependen de que los fabricantes (que no son necesariamente Google o Qualcomm) reparen un dispositivo afectado con un parche, incluso si este fue lanzado en el momento de la divulgación. Ese retraso es crítico cuando las vulnerabilidades se explotan más rápido que nunca.

Como resultado, Qualcomm instó en su boletín a los clientes a "ponerse en contacto con el fabricante del dispositivo para obtener información sobre el estado de los parches de los dispositivos comercializados".

Fuente: DarkReading