El gigante fabricante de chips Qualcomm publicó parches el lunes para solucionar una serie de vulnerabilidades en docenas de chips, incluidas tres vulnerabilidades zero-day que la empresa dijo que podrían estar siendo utilizadas como parte de campañas de hackeo. Qualcomm citó al Grupo de Análisis de Amenazas, o TAG, de Google, que investiga ciberataques respaldados por el gobierno, diciendo que las tres fallas “podrían estar siendo explotadas de manera limitada y dirigida”.
Según el boletín de la compañía, el equipo de seguridad de Android de Google informó a Qualcomm sobre los tres zero-days (CVE-2025-21479, CVE-2025-21480 y CVE-2025-27038) en febrero. Los zero-days son vulnerabilidades de seguridad que no son conocidas por el creador del software o hardware en el momento de su descubrimiento, lo que las hace extremadamente valiosas para ciberdelincuentes y hackers gubernamentales. Debido a la naturaleza de código abierto y distribuida de Android, ahora depende de los fabricantes de dispositivos aplicar los parches proporcionados por Qualcomm, lo que significa que algunos dispositivos aún pueden ser vulnerables durante varias semanas más, a pesar de que hay parches disponibles.
Qualcomm dijo en el boletín que los parches “se pusieron a disposición de los [fabricantes de dispositivos] en mayo junto con una fuerte recomendación de implementar la actualización en los dispositivos afectados lo antes posible”. Ed Fernandez, portavoz de Google, dijo a TechCrunch que los dispositivos Pixel de la compañía no se ven afectados por estas vulnerabilidades de Qualcomm. Kimberly Samra, portavoz de TAG de Google, no proporcionó de inmediato más información sobre estas vulnerabilidades y las circunstancias en las que TAG las encontró. Qualcomm reconoció las correcciones. “Alentamos a los usuarios finales a aplicar las actualizaciones de seguridad a medida que estén disponibles por parte de los fabricantes de dispositivos”, dijo el portavoz de la compañía, Dave Schefcik.
Los conjuntos de chips encontrados en dispositivos móviles son objetivos frecuentes para hackers y desarrolladores de exploits zero-day porque los chips generalmente tienen amplio acceso al resto del sistema operativo, lo que significa que los hackers pueden saltar desde allí a otras partes del dispositivo que pueden contener datos sensibles. En los últimos meses, ha habido casos documentados de explotación contra los conjuntos de chips de Qualcomm. El año pasado, Amnistía Internacional identificó un zero-day de Qualcomm que estaba siendo utilizado por las autoridades serbias, probablemente utilizando la herramienta de desbloqueo de teléfonos Cellebrite.
Actualizado para incluir el comentario del portavoz de Qualcomm.
[[IMG::]]
