# Exploit de dos etapas alcanza kernel completo en Android vía VoLTE — sin parche del fabricante
Investigadores publicaron una cadena de ataque que compromete dispositivos con chipsets Unisoc a través de videollamadas, sin respuesta del proveedor desde marzo.
El 17 de agosto de 2026, investigadores de SSD Secure Disclosure publicaron el segundo eslabón de una cadena de exploit que permite acceso completo al kernel de Android en dispositivos equipados con firmware de módem Unisoc. El vector de ataque es una llamada de video VoLTE — el protocolo de voz sobre LTE que opera en la capa de red móvil — y no requiere interacción del usuario más allá de recibir la llamada. La primera etapa de esta cadena, que lograba ejecución remota de código en el módem, fue divulgada públicamente en marzo de 2026. Cinco meses después, el fabricante del chipset no ha publicado ningún parche.
Cómo una llamada de video se convierte en acceso root
La cadena de exploit opera en dos fases secuenciales. La primera, ya documentada desde marzo, compromete el firmware del módem Unisoc mediante una llamada VoLTE manipulada. Una vez dentro del módem, el atacante ejecuta la segunda etapa — ahora revelada — que escala privilegios desde el entorno aislado del módem hasta el kernel principal de Android. El resultado es control total del dispositivo sin que el usuario perciba nada anormal durante la videollamada.
VoLTE es el estándar que reemplazó las llamadas de voz tradicionales en redes 4G y 5G. Opera en la capa de red del operador, lo que significa que el ataque no depende de una aplicación instalada ni de que el usuario abra un enlace. El dispositivo procesa la llamada entrante como parte de su funcionamiento normal. Unisoc es un fabricante chino de chipsets presente en dispositivos de gama media y baja distribuidos principalmente en mercados emergentes, incluyendo modelos vendidos en América Latina bajo marcas locales y regionales.
Cinco meses sin respuesta del fabricante
SSD Secure Disclosure divulgó la primera etapa del exploit en marzo de 2026 como una vulnerabilidad de ejecución remota de código. La práctica estándar en divulgación responsable establece un período de entre 90 y 120 días para que el fabricante publique un parche antes de hacer pública la información técnica. En este caso, transcurrieron cinco meses entre la primera divulgación y la publicación de la segunda etapa, sin que Unisoc haya emitido actualización de firmware ni comunicado público sobre el estado de la corrección.
La ausencia de parche deja a los usuarios en una posición inusual: la vulnerabilidad es pública, la técnica de explotación está documentada, pero no existe mitigación disponible del fabricante. Los dispositivos afectados dependen de que sus fabricantes de equipos originales (OEM) publiquen actualizaciones de firmware, un proceso que en el segmento de gama media suele ser irregular o directamente inexistente después del primer año de vida del producto.
Exposición estructural en mercados de dispositivos económicos
Unisoc concentra su presencia en dispositivos de precio bajo, un segmento que en América Latina representa la mayoría de las ventas de smartphones. En países como Brasil, México, Colombia y Argentina, los modelos con chipsets de este fabricante se comercializan a través de operadores locales y cadenas de retail bajo marcas que priorizan precio sobre actualizaciones de seguridad a largo plazo. La combinación de hardware vulnerable, ausencia de parches y ciclos de soporte cortos crea una ventana de exposición prolongada.
A diferencia de los chipsets de Qualcomm o MediaTek — que tienen programas de divulgación de vulnerabilidades y calendarios de parches coordinados con Google — Unisoc opera con menor visibilidad en el ecosistema de seguridad Android. Esto no es un dato menor: un exploit funcional sin parche disponible en un chipset de amplia distribución regional convierte a millones de dispositivos en objetivos técnicamente viables para ataques dirigidos, especialmente en contextos donde el acceso a comunicaciones de funcionarios, periodistas o activistas tiene valor operacional.
Nuestro análisis
Este caso expone una fractura estructural en el modelo de seguridad de Android fuera del ecosistema premium. La cadena de exploit publicada por SSD Secure Disclosure no es una prueba de concepto teórica: es una técnica funcional, documentada y sin mitigación disponible cinco meses después de la primera divulgación. La ausencia de respuesta de Unisoc no es una anomalía — es el comportamiento esperado en un segmento de mercado donde el costo de ingeniería de un parche de firmware supera el valor comercial residual de los dispositivos afectados.
Lo que hace crítico este escenario para América Latina no es solo la prevalencia de dispositivos Unisoc en la región, sino la intersección entre hardware vulnerable, usuarios sin alternativa de actualización y contextos donde el acceso a comunicaciones tiene implicancias que van más allá del robo de credenciales. Un exploit de kernel vía VoLTE permite vigilancia persistente, exfiltración de datos y manipulación de comunicaciones sin dejar rastro visible para el usuario. La pregunta que queda abierta no es si esta técnica será utilizada — la publicación de la cadena completa garantiza que actores con capacidad técnica suficiente ya la están evaluando — sino cuánto tiempo pasará hasta que los fabricantes de dispositivos económicos asuman que la seguridad post-venta es parte del producto que venden, no un costo opcional.