La ciberseguridad en dispositivos móviles ha alcanzado un nuevo punto de fricción técnica. Un informe detallado por los investigadores de la firma de seguridad Sekoia ha puesto al descubierto un sofisticado vector de ataque capaz de comprometer un teléfono Android sin necesidad de que el usuario interactúe con elementos sospechosos, descargue archivos maliciosos o conceda permisos especiales. Bastaba con acceder a un sitio web infectado para que el código malicioso tomara el control parcial del dispositivo.
El ataque se fundamentaba en una técnica conocida como «encadenamiento de vulnerabilidades» (exploit chain), donde los atacantes combinaban un fallo de seguridad dentro del motor de navegación de Google Chrome con una brecha en los controladores de procesamiento gráfico de los procesadores Qualcomm.
-¿Cómo la combinación de dos parches no instalados anulaba el aislamiento de Chrome?
Para comprender la peligrosidad del proceso es necesario analizar la estructura de seguridad de los navegadores modernos. Habitualmente, las aplicaciones web se ejecutan dentro de un entorno aislado denominado sandbox, una barrera virtual pensada para evitar que cualquier anomalía o ejecutable malicioso de una página web pueda saltar al resto del sistema operativo o acceder al almacenamiento interno del dispositivo.
En esta campaña, la secuencia de ejecución se dividía en dos fases precisas:
- Inyección de código en el motor JavaScript (CVE-2026-3910): El primer eslabón del ataque explotaba una vulnerabilidad en V8, la pieza encuadrada dentro de Google Chrome encargada de procesar el código interactivo de las webs. Este fallo permitía ejecutar instrucciones no autorizadas dentro del propio proceso del navegador.
- Evasión del Sandbox mediante el controlador Adreno (CVE-2025-27038): Para romper el aislamiento de Chrome y acceder al procesador del teléfono, el exploit aprovechaba un fallo en los controladores de la unidad de procesamiento gráfico (GPU) Adreno de Qualcomm. Al combinar ambas brechas, los atacantes lograban sortear las protecciones nativas de Android.
El análisis de la firma Sekoia reveló que la infraestructura de ataque filtraba de forma muy específica a sus víctimas. El código buscaba ejecuciones en compilaciones de Google Chrome situadas entre la versión 139 y la 145, omitiendo la versión 143. Asimismo, la secuencia se interrumpía automáticamente si detectaba que el dispositivo era un Samsung Galaxy S25 Ultra (identificado bajo la referencia técnica SM-S938B), probablemente para evitar ser descubierto por los sistemas de telemetría avanzados de ese modelo.
-Robo de sesiones de navegación y claves de red Wi-Fi
Aunque el vector de ataque no buscaba extraer documentos personales o datos de identificación física en una primera instancia, el nivel de acceso obtenido ponía en riesgo crítico la privacidad digital del usuario.
Una vez que el exploit lograba saltar las protecciones del sistema, los atacantes tenían capacidad para extraer:
- Cookies de sesión activas: Al apoderarse de las cookies de autenticación que almacena el navegador, un ciberdelincuente puede suplantar la identidad de la víctima en sus cuentas web abiertas (redes sociales, correo electrónico o servicios financieros) sin necesidad de conocer sus contraseñas ni superar los códigos de verificación.
- Gestor de credenciales e historial: Acceso a los inicios de sesión guardados en la memoria del navegador y al registro completo de páginas visitadas.
- Configuraciones de red del dispositivo: Extracción de los perfiles de conexión Wi-Fi guardados en el sistema operativo, incluyendo las contraseñas en texto plano de las redes a las que se hubiera conectado el teléfono.
-Las actualizaciones necesarias para cerrar la ventana de vulnerabilidad en Android
Tanto Google como Qualcomm han liberado las correcciones de software correspondientes para neutralizar esta cadena de explotación. Sin embargo, la efectividad de la protección depende de que los parches hayan sido aplicados en los dispositivos finales, donde la fragmentación del ecosistema Android suele retrasar la llegada de las actualizaciones de firmware.
Para garantizar la inmunización frente a este tipo de amenazas, se requiere realizar dos comprobaciones esenciales en el dispositivo:
- Actualización de la aplicación: Acceder a Google Play Store, buscar la aplicación Google Chrome y proceder a la instalación de la versión más reciente disponible para forzar la actualización del motor V8.
- Actualización de parches del sistema: Entrar en el panel de Ajustes de Android, navegar hasta el apartado de Actualización de software o Sistema y aplicar los parches de seguridad pendientes para actualizar los controladores gráficos de Qualcomm en el kernel.
El hallazgo de Sekoia vuelve a poner de relieve que mantener el software actualizado al día constituye la principal línea de defensa en entornos móviles, donde la simple navegación por páginas web legítimas pero comprometidas puede exponer la información del dispositivo.