Exploit PoC lanzado para la vulnerabilidad de 0 clic de Android que permite el acceso remoto al Shell

El Boletín de seguridad de Android de Google de mayo de 2026 ha revelado una vulnerabilidad crítica sin clic en el sistema central de Android. La falla CVE-2026-0073 en el demonio adbd de Android permite a los actores de amenazas cercanos obtener de forma remota acceso completo al shell sin interacción de la víctima.

Descubierto por los investigadores de seguridad de BARGHEST, este fallo criptográfico crítico destruye por completo el modelo de confianza de depuración de Android, transformando una herramienta de desarrollo estándar en una backdoor invisible y armada. Lanzamiento de PoC Zero-Click de Android La base de CVE-2026-0073 es un error de lógica criptográfica en la función adbd_tls_verify_cert del archivo auth.cpp. Durante este protocolo de enlace, el sistema utiliza la API EVP_PKEY_cmp para comparar la clave pública del certificado del cliente con las claves RSA autorizadas almacenadas en el dispositivo. Si un atacante proporciona un certificado que no es RSA, como EC P-256 o Ed25519, la API de comparación devuelve -1 para señalar una discrepancia entre algoritmos.

Esto otorga al atacante privilegios de ejecución como usuario shell, lo que le permite eludir los entornos limitados de aplicaciones normales. La publicación Exploit PoC lanzado para la vulnerabilidad sin clic de Android que permite el acceso remoto al Shell apareció por primera vez en Cyber ​​Security News.

Consultar publicación original ↗