Google reveló el lunes una vulnerabilidad de día cero explotada activamente, advirtiendo que el defecto de alta gravedad que afecta a un componente de pantalla de código abierto de Qualcomm para dispositivos Android «puede estar bajo explotación limitada y dirigida».

La vulnerabilidad de la corrupción de la memoria CVE-2026-21385 – que el equipo de seguridad de Android de Google informó a Qualcomm el 18 de diciembre, afecta a 234 conjuntos de chips, dijo Qualcomm en un boletín de seguridad. Qualcomm dijo que notificó a los clientes sobre la vulnerabilidad el 2 de febrero.

Qualcomm se negó a decir cuándo ocurrió el primer caso conocido de explotación, cuántas víctimas se vieron afectadas directamente y qué ocurrió durante el período de 10 semanas entre el informe y la divulgación pública de la vulnerabilidad.

«Felicitamos a los investigadores del Grupo de Análisis de Amenazas de Google por utilizar prácticas de divulgación coordinadas», dijo un portavoz de Qualcomm a CyberScoop. «Las correcciones estuvieron disponibles para nuestros clientes en enero de 2026. Alentamos a los usuarios finales a aplicar actualizaciones de seguridad a medida que estén disponibles por parte de los fabricantes de dispositivos».

Un portavoz de Google dijo que Qualcomm marcó la vulnerabilidad como explotada. «No tenemos ninguna información ni acceso a los informes de explotación», añadió el portavoz.

Google solucionó 129 defectos en su actualización de seguridad mensual para dispositivos Android, lo que refleja un aumento en las divulgaciones de vulnerabilidades por parte del proveedor. La última actualización de seguridad de la compañía contiene la mayor cantidad de vulnerabilidades de Android parcheadas en un solo mes desde abril de 2018.

El programa público de divulgación e informes de vulnerabilidades de Google para Android ha sido desigual. La empresa normalmente publicaba docenas de parches de seguridad cada mes, pero esa cadencia se ha convertido en una rutina más ocasional.

En lo que va del año, Google abordó una vulnerabilidad de Android en enero y ninguna en febrero. También hubo pausas ocasionales el año pasado cuando Google no informó ninguna vulnerabilidad en julio y octubre, seis en agosto y dos vulnerabilidades en noviembre. Sin embargo, las divulgaciones para 2025 alcanzaron su punto máximo con 120 defectos en septiembre y repuntaron nuevamente en diciembre con 107 vulnerabilidades, incluidas dos de día cero.

Google respondió anteriormente a preguntas sobre caídas en la cantidad de vulnerabilidades que revela cada mes, señalando que sigue centrado en los defectos que representan el mayor peligro.

«Android detiene la mayor parte de la explotación de vulnerabilidades en la fuente con un amplio refuerzo de la plataforma, como nuestro uso del lenguaje Rust, seguro para la memoria, y protecciones antiexplotación avanzadas», dijo un portavoz de Google en diciembre. «Android y Pixel abordan continuamente las vulnerabilidades de seguridad conocidas y priorizan reparar y parchar primero las de mayor riesgo».

El boletín de seguridad de Android de marzo incluye dos niveles de parche (2026-03-01 y 2026-03-05), lo que permite a los socios de Android abordar vulnerabilidades comunes en diferentes dispositivos. Los fabricantes de dispositivos Android lanzan parches de seguridad según su propio calendario después de haber personalizado las actualizaciones del sistema operativo para su hardware específico.

La actualización de seguridad principal contiene 63 vulnerabilidades, incluidas 32 en el marco, 19 en el sistema y 12 que afectan a Google Play. Casi la mitad de esas vulnerabilidades tienen identificadores CVE a partir de 2025.

El segundo parche aborda 66 vulnerabilidades, incluidas 15 vulnerabilidades que afectan al kernel, un defecto de un componente Arm, siete fallas de Imagination Technologies y siete vulnerabilidades en los componentes de Unisoc.

El segundo nivel de parche también contiene correcciones para ocho vulnerabilidades en componentes de Qualcomm de código cerrado y siete defectos de alta gravedad en componentes de Qualcomm de código abierto, incluido CVE-2026-21385.

Google dijo que el código fuente de todas las vulnerabilidades abordadas en el boletín de seguridad de Android de este mes se publicará en el repositorio del Proyecto de Código Abierto de Android el miércoles.

Se ha arraigado un esfuerzo mundial de aplicación de la ley para combatir The Com, una red nihilista en expansión de miles de menores y adultos jóvenes involucrados en diversas formas de delitos cibernéticos, incluida la violencia física y la extorsión.

Proyecto Brújulauna operación coordinada por Europol con el apoyo de 28 países, incluidos todos los miembros de los Cinco Ojos, ha dado lugar a la arresto de 30 perpetradores desde que la iniciativa se puso en marcha en enero de 2025, dijeron las autoridades en un comunicado de prensa el jueves.

Las autoridades dijeron que las contramedidas sostenidas han contribuido a la identificación total y parcial de 179 perpetradores, mientras que la operación también ha salvaguardado a cuatro víctimas e identificado hasta 62 víctimas.

El Com se divide en tres subconjuntos principales con diferentes objetivos que el FBI describe como Hacker Com, In Real Life Com y Extortion Com. Los delitos atribuidos a miembros del grupo se han vuelto cada vez más complejos, y los perpetradores hacen todo lo posible para enmascarar identidades, ocultar transacciones financieras y lavar dinero.

«Estas redes apuntan deliberadamente a los niños en los espacios digitales donde se sienten más cómodos», dijo en un comunicado Anna Sjöberg, directora del Centro Europeo Contra el Terrorismo de Europol.

Varias ramas de The Com han sido vinculadas a crímenes de alto perfil en los últimos años, y las fuerzas del orden han respondido con una mayor actividad e interés en las actividades del grupo.

La COM es enorme: muchos perpetradores siguen prófugos y aún más víctimas siguen sufriendo y esperando ayuda.

Este creciente esfuerzo global para frustrar las tendencias cambiantes del crimen con recursos apropiados ha construido una base que fomentará resultados más allá de los logrados hasta la fecha, dijo Allison Nixon, directora de investigación de la Unidad 221B.

«¿Cómo se come un elefante? Un bocado a la vez», dijo a CyberScoop. «La COM representa un importante problema social que afecta a la juventud, y las expectativas de la gente deben ser realistas. Estas primeras cifras y el aumento de los esfuerzos con el tiempo es lo que representa el éxito y debemos fomentarlo».

Una respuesta policial eficaz a The Com requiere una forma diferente de pensar y reequipar, “pero tiene más solución que el crimen que se origina en naciones hostiles”, dijo Nixon.

Project Compass se basa en una red de intercambio de información, que permite a cada uno de los países socios ayudar con las investigaciones en varias unidades especializadas. Los países también están compartiendo consejos sobre medidas preventivas y movilizando grupos de datos para reunir inteligencia para los casos en curso.

«El Proyecto Compass nos permite intervenir antes, salvaguardar a las víctimas y perturbar a quienes explotan la vulnerabilidad con fines extremistas», afirmó Sjöberg. «Ningún país puede hacer frente a esta amenaza por sí solo y, a través de esta cooperación, estamos cerrando las brechas en las que intentan esconderse».

Europol no ha identificado hasta el momento a las 30 personas detenidas en el marco del Proyecto Compass. Sin embargo, al menos algunos de esos casos son públicos.

Durante el año pasado, las autoridades arrestaron a varios miembros de una rama de Com conocida como 764, que es una creciente amenaza en línea para obligar a niños vulnerables a producir material de abuso sexual infantil de ellos mismos, material gor, automutilación, abuso de hermanos, abuso de animales y otros actos de violencia.

Dos presuntos líderes de 764, Leonidas Varagiannis y Prasan Nepal, fueron arrestados y acusados ​​de dirigir y distribuir CSAM en abril.

Tony Christoper Long y Alexis Aldair Chávez se declararon culpables a fines del año pasado de múltiples delitos relacionados con su participación en el grupo extremista. Otros presuntos 764 miembros han sido arrestados en Estados Unidos más recientemente, incluidos Erik Lee Madison y Aaron Corey.