A finales de agosto de 2026, el equipo de investigación de SSD Secure Disclosure publicó un advisory que describe una cadena de exploits de dos etapas capaz de comprometer el kernel de Android en dispositivos que utilizan firmware de modem Unisoc. La vulnerabilidad, que se originó en marzo del mismo año con una primera fase de ejecución remota de código, se ha convertido en la segunda fase que permite el acceso total al sistema operativo.
El primer componente del ataque se basa en una vulnerabilidad de desbordamiento de búfer en el manejador de llamadas VoLTE, que permite al atacante inyectar código malicioso durante una videollamada. Una vez ejecutado, el segundo nivel aprovecha una escalada de privilegios mediante una cadena de exploits que manipula estructuras internas del kernel, logrando finalmente el control completo del dispositivo.
El proceso se inicia cuando la aplicación de videoconferencia envía paquetes specially crafted a través de la interfaz VoLTE; estos paquetes provocan una condición de carrera que el firmware no maneja correctamente. Al explotar esta condición, el atacante consigue ejecutar código arbitrario con privilegios de kernel, lo que le permite leer o modificar cualquier dato del sistema, instalar persistencias ocultas y ejecutar rootkits a nivel de hardware.
Los dispositivos afectados incluyen la gran mayoría de los smartphones y tablets que emplean modems Unisoc, una familia de chipsets que domina gran parte del mercado emergente en Asia y América Latina. Hasta la fecha, el fabricante no ha publicado ningún parche ni ha comunicado una hoja de ruta para corregir la falla, lo que deja a millones de usuarios expuestos a ataques masivos y a la posible exfiltración de datos sensibles.
Unisoc, aunque menos conocida que Qualcomm o MediaTek, ha experimentado un rápido crecimiento en los últimos años, impulsado por su enfoque en soluciones de conectividad 5G y VoLTE a bajo costo. Sin embargo, su historial de seguridad ha sido cuestionado en el pasado, con informes de vulnerabilidades en la gestión de claves de cifrado y en la implementación de mecanismos de sandboxing, lo que sugiere una falta de madurez en los procesos de desarrollo seguro.
La ausencia de una corrección oficial constituye un desafío crítico para los fabricantes de dispositivos, quienes deben decidir entre esperar a un parche de Unisoc o implementar mitigaciones a nivel de software, como la desactivación de VoLTE o la aplicación de políticas de sandboxing más estrictas. La complejidad del exploit, que combina una vulnerabilidad de memoria con una escalada de privilegios, dificulta la detección basada solo en firmas antivirus, incrementando la necesidad de soluciones de detección basada en comportamiento.
Para los profesionales de TI y a los usuarios finales, la recomendación principal es mantener el sistema actualizado tan pronto como el fabricante libere una actualización de firmware, o bien desactivar la funcionalidad VoLTE mientras se espera la solución. Además, organizaciones que gestionan flotas de dispositivos deberían implementar controles de red que bloqueen tráfico sospechoso en la capa de señalización VoLTE y monitoricen indicadores de comportamiento anómalo en las llamadas de video.
En resumen, la cadena de exploits descubierta por SSD Secure Disclosure pone de relieve la importancia de una gestión de vulnerabilidades ágil por parte de los proveedores de chipsets y la necesidad de que los fabricantes de smartphones adopten un enfoque proactivo en la protección del kernel. La falta de respuesta inmediata no solo pone en riesgo la confidencialidad e integridad de los datos, sino que también erosiona la confianza del usuario en la plataforma Android, subrayando la urgencia de reforzar la seguridad a nivel de hardware y software.
