Android zero-day CVE-2025-48595 sota explotació activa: com la fragmentació de l’ecosistema converteix el pedàç de juny en un problema de setmanes per als dispositius corporatius

Google va publicar l‘11 de juny el Butlletí de Seguretat Android de juny de 2026, amb 124 vulnerabilitats pedaçades, 18 d’elles qualificades com a crítiques. De totes elles, una destaca sobre la resta: CVE-2025-48595 (CVSS 8.4), un zero-day al component Android Framework que Google va confirmar està sent explotat activament en atacs dirigits. La CISA el va afegir al catàleg KEV el 2 de juny amb termini de remediació per a agències federals el 5 de juny. El pedàç existeix, però la fragmentació de l’ecosistema Android significa que la majoria de dispositius corporatius espanyols — Samsung, Xiaomi, Realme, HONOR, Motorola — tardaran setmanes o mesos a rebre’l.

‍

Què se sap de CVE-2025-48595 i l’explotació activa confirmada?

• Vulnerabilitat: integer overflow (CWE-190) al component Android Framework. Quan s’activa, permet escalada de privilegis locals sense que l’usuari ho detecti.
• CVSS 8.4: sense autenticació addicional requerida, sense interacció de l’usuari necessaris.
• Versions afectades: Android 14, 15, 16 i Android 16 QPR2.
• Explotació activa confirmada: Google declara explícitament: “there are indications that CVE-2025-48595 may be under limited, targeted exploitation”. Atacs dirigits a perfils d’alt valor: executius corporatius, periodistes, dissidents, funcionaris governamentals.
• CISA KEV: afegit el 2 de juny de 2026. Termini federal: 5 de juny de 2026.
• Pedàç disponible: als nivells de pedàç Android 2026-06-01 i 2026-06-05.

‍

Per què els dispositius Android corporatius són objectiu d’atacs dirigits

1. Un dispositiu Android corporatiu és una porta d’entrada a tota la infraestructura de l’empresa. Accés al correu corporatiu, la VPN, les aplicacions internes i els repositoris de documents.
2. Els entorns BYOD són especialment vulnerables. Els cicles d’actualització d’un dispositiu personal són molt més irregulars que els d’un dispositiu gestionat per MDM.
3. Android 14 i 15 dominen el parc de dispositius empresarials a Espanya. Exactament les versions afectades.
4. L’escalada de privilegis locals és especialment perillosa en dispositius amb accés corporatiu. Un cop a dins, CVE-2025-48595 eleva els privilegis al nivell del sistema.

‍

Com funciona l’atac: de l’integer overflow a l’escalada de privilegis

1. Accés inicial al dispositiu. Via aplicació maliciosa, exploit de navegador o accés físic.
2. Activació de l’integer overflow. El codi maliciós envia valors especialment construïts al component Android Framework vulnerable.
3. Escalada de privilegis. La corrupció de memòria permet executar codi amb privilegis del sistema.
4. Post-explotació. Accés a credencials, cookies de sessió, claus de xifratge i dades d’aplicacions corporatives.

‍

El problema de la fragmentació: per què el teu dispositiu Android pot trigar setmanes a rebre el pedàç

1. Google → Fabricants OEM (1-4 setmanes). Cada fabricant ha d’integrar el pedàç a la seva capa de programari.
2. Fabricants OEM → Operadors de telecomunicacions (0-3 setmanes addicionals). Movistar, Vodafone, Orange, MasMóvil realitzen proves de compatibilitat pròpies.
3. Operadors → Dispositius de l’usuari (depenent de l’usuari). En entorns BYOD sense MDM, el dispositiu pot tenir les actualitzacions automàtiques desactivades.

Entre 4 i 10 setmanes poden passar entre la divulgació i l’aplicació del pedàç en un dispositiu Samsung o Xiaomi típic.

‍

Lliçons clau i checklist per a responsables IT i CISOs amb entorns BYOD

Acció immediata — Dispositius Google Pixel:

• Verificar que tots els Pixel han rebut el nivell de pedàç 2026-06-01 o superior.

Acció urgent — Samsung, Xiaomi, HONOR, Realme, Motorola:

• Verificar el nivell de pedàç instal·lat. Qualsevol nivell anterior a 2026-06-01 no inclou la correcció. Aplicar l’actualització via Settings → Software update en quan estigui disponible.

Per a entorns amb MDM/EMM:

• Crear o actualitzar les polítiques de compliància per exigir el nivell mínim de pedàç 2026-06-01 com a condició per a l’accés a recursos corporatius.

Per a entorns BYOD sense MDM:

• Comunicar als empleats la urgència d’actualitzar. Avaluar la implementació urgent d’una solució MDM o MAM.

‍

La ciberseguretat com a prioritat estratègica

CVE-2025-48595 és el recordatori d’una realitat que els responsables de seguretat coneixen però que poques organitzacions han resolt completament: els dispositius mòbils són l’eslabó més feble del perímetre de seguretat corporatiu el 2026.

‍

Apolo Cybersecurity: gestió de dispositius mòbils i seguretat BYOD en entorns corporatius

A Apolo Cybersecurity ajudem organitzacions a gestionar la superfície de risc que representen els dispositius mòbils Android: implementació de polítiques MDM, inventari del nivell de pedàç de la flota Android, detecció d’accessos des de dispositius no conformes i avaluació del risc en entorns sense MDM.

Si la teva organització té empleats que accedeixen al correu corporatiu o a la VPN des de dispositius Android i no tens visibilitat sobre quin nivell de pedàç tenen instal·lat, CVE-2025-48595 és el senyal per canviar-ho.

‍