Google advierte sobre dos fallas críticas en Android ya explotadas: instala la actualización de septiembre

Cada mes Google publica su Boletín de Seguridad de Android, donde detalla las vulnerabilidades corregidas en el sistema operativo. Normalmente, se trata de fallas que se descubren a tiempo, antes de que los atacantes puedan aprovecharlas. Pero en septiembre de 2025 la situación es distinta: Google confirmó que dos fallas graves – CVE-2025-38352 y CVE-2025-48543 – ya están siendo utilizadas activamente en ataques.

Esto eleva el nivel de urgencia. Una vulnerabilidad sin explotación activa es un riesgo latente, pero cuando Google señala que ya hay ataques en curso, la actualización de seguridad pasa de ser recomendable a absolutamente imprescindible.

Primera vulnerabilidad: CVE-2025-38352

La primera falla se encuentra en el Kernel de Android, el núcleo que coordina hardware, procesos y aplicaciones. El error afecta el sistema de alarmas y temporizadores que las apps usan para ejecutar tareas en momentos concretos. Cuando dos procesos intentan limpiar temporizadores al mismo tiempo, ocurre un fallo de sincronización. Eso abre la puerta a que un atacante escale privilegios y logre acceso a zonas críticas del sistema.

Las vulnerabilidades de kernel son especialmente peligrosas porque permiten esconder malware a un nivel profundo, haciéndolo muy difícil de detectar o eliminar. Google ya corrigió este fallo en el parche de seguridad de septiembre de 2025. Para comprobar si tu dispositivo está protegido, ve a Ajustes > Información del teléfono > Versión de Android > Actualización de seguridad. Si aparece 5 de septiembre de 2025 o una fecha posterior, la corrección ya está aplicada. Si no, actualiza de inmediato.

Segunda vulnerabilidad: CVE-2025-48543

La otra falla crítica, CVE-2025-48543, se ubica en Android Runtime (ART), el entorno encargado de ejecutar aplicaciones. Se trata de un error de gestión de memoria. Es como si un hotel entregara una llave a un huésped, luego lo hiciera checkout, borrara el cuarto, pero nunca desactivara la llave. Esa llave aún funciona, y cualquiera con acceso podría entrar. Así es como los atacantes pueden aprovechar este fallo para obtener permisos más altos de los que debería tener una aplicación.

Con esos privilegios, un app maliciosa podría controlar procesos del sistema reservados normalmente a Google o al fabricante, accediendo a datos sensibles, contraseñas y credenciales. Google incluyó la corrección en el parche de septiembre de 2025. Si tu móvil muestra como parche de seguridad el 1 de septiembre de 2025 o posterior, estás protegido.

Por qué estas fallas preocupan más

Lo más inquietante es que estas dos vulnerabilidades no requieren ninguna acción por parte del usuario para ser explotadas. A menudo, un ataque necesita que la víctima haga clic en un enlace o apruebe un permiso sospechoso. Aquí, en cambio, basta con que la app maliciosa esté instalada: el ataque ocurre en segundo plano, sin que el usuario haga nada.

Imagina descargar una aplicación de dibujo aparentemente inocente desde una tienda no oficial. Con malware común, tendrías que caer en un truco adicional para activar el ataque. Con estas fallas, la explotación comienza sola, apenas se instala el programa.

Qué hacer ahora

Las recomendaciones de Google son claras y directas:

• Instala ya la actualización de seguridad de septiembre de 2025.
• Usa solo aplicaciones de la Google Play Store, evita tiendas de terceros.
• Mantén Google Play Protect siempre activado para analizar apps y bloquear software malicioso.
• Considera las actualizaciones mensuales como parte esencial del mantenimiento de tu dispositivo, no como algo opcional.

Quiénes son los objetivos

Google señala que por ahora los ataques parecen dirigirse a grupos específicos como periodistas, activistas y funcionarios públicos. Pero la experiencia demuestra que las técnicas de ataque pasan rápidamente de ser “de élite” a estar disponibles para delincuentes comunes. Eso significa que todos los usuarios deben protegerse, sin importar si creen ser un objetivo atractivo o no.

Android está presente en miles de millones de dispositivos en todo el mundo. Esa popularidad lo convierte en un blanco permanente para atacantes. El boletín de septiembre es un recordatorio: quien ignora las actualizaciones expone deliberadamente sus datos. La única defensa real es mantener el sistema actualizado.

Como nota más ligera, Google también aprovechó para anunciar el próximo lanzamiento del libro “Iconic Phones: Revolution at Your Fingertips”, una recopilación de los teléfonos más emblemáticos de las últimas décadas. Una propuesta nostálgica para amantes de la tecnología, aunque la prioridad ahora es instalar el parche y resguardar la seguridad de tu móvil.