GhostMap: según Bitdefender, una app sin abrir puede dejar tu Android en bucle de arranque

Bitdefender, la empresa rumana de antivirus, publicó el 5 de noviembre de 2026 una investigación sobre una falla de Android que bautizó GhostMap: según sus pruebas, alcanza con instalar una app armada a propósito —sin abrirla, sin darle un solo permiso y aunque no traiga código— para que un proceso central del sistema se caiga, se reinicie y se vuelva a caer, y el teléfono quede atrapado en un bucle de arranque.

Reiniciar no lo arregla y el modo seguro tampoco. La salida que encontraron es un restablecimiento de fábrica, que borra todo lo que guardaste en el equipo.

Lo reprodujeron en un Pixel 10 con Android 17 y el parche de seguridad del 5 de agosto de 2026, y dicen que también pasa en versiones anteriores, desde Android 10. Y el dato que más incomoda: según Bitdefender, Google evaluó el reporte como fuera del alcance de una actualización de seguridad. Al momento de su publicación no había arreglo. Lo que sí aclara Bitdefender: no vio a nadie usándolo contra usuarios reales.

Qué hacer hoy

Como no hay parche, lo que queda es achicar la chance de instalar la app equivocada y tener un plan B si pasa lo peor. Estas medidas son nuestras, no de Bitdefender, y ninguna cuesta plata (los nombres de los menús cambian según la marca del teléfono; el buscador de Ajustes ayuda):

• Hacé una copia de seguridad ahora. Si un bucle así te obliga a restablecer el teléfono, lo que esté respaldado en la nube (fotos, contactos, chats con copia) vuelve; lo que esté solo en el equipo, no. En Ajustes, buscá «Copia de seguridad» y fijate que esté activada y reciente; en WhatsApp, la copia de los chats se configura aparte, desde sus propios ajustes.
• No instales APK que te mandan por WhatsApp, Telegram o un link. El ataque necesita que la app se instale. En Ajustes, buscá «Instalar apps desconocidas» y sacale ese permiso al navegador, al gestor de archivos o a la app de mensajería que lo tenga. Y no te confíes porque una app no pida permisos: esta no los necesita.
• Si ya te pasó, no lo reinicies a mano. Según Bitdefender, un reinicio completo cierra la única salida que no borra los datos (la de ADB, que explicamos abajo). Si no tenías activadas las opciones de desarrollador, el camino es el restablecimiento de fábrica.

Un detalle que hay que decir con todas las letras: Bitdefender no dice si Google Play o Play Protect frenarían una app así, y Google no respondió públicamente. Bajar apps solo de la tienda oficial sigue siendo lo más sensato, pero ninguna de las fuentes permite prometer que te cubre de este caso.

Qué es GhostMap, en criollo

Un APK, el archivo de instalación de una app de Android, es por dentro un archivo comprimido. Según Bitdefender, Android interpreta mal dos datos de cada archivo que va adentro: el método de compresión y el tamaño que declara. Una app armada miente sobre ese tamaño y el sistema termina leyendo una zona de memoria que el archivo nunca ocupó. El proceso que la toca se cae en el acto.

Si eso le pasa a una app cualquiera, se cierra y listo. El problema es cuando el que lo lee es system_server, el proceso central de Android, que según la investigación lee por su cuenta ciertos archivos de la app, sin que nadie la abra. Se cae, el sistema vuelve a arrancar, lo lee otra vez y se vuelve a caer, cada pocos segundos. En la prueba de Bitdefender, el primer cuelgue llegó alrededor de un segundo después de instalar, y el ciclo se repitió 110 veces en una captura y 72 en otra en modo seguro, con la pantalla clavada en la animación de arranque.

Bitdefender encontró dos salidas, y ninguna es linda. La primera es el restablecimiento de fábrica. La segunda es borrar el archivo malformado con ADB, la herramienta de depuración de Android que se usa desde una computadora, entre un cuelgue y el siguiente. Según la investigación, eso funciona solo a veces, solo si el modo desarrollador ya estaba activado de antes, y deja de funcionar después del primer reinicio completo del teléfono. Para quien nunca activó esa opción, que es lo normal en un teléfono de uso diario, queda solo el reseteo.

Qué más podría hacer un atacante, según Bitdefender

La investigación describe usos posibles, y aclara que son escenarios que la falla permite, no ataques que haya visto:

• Dejar el teléfono inutilizable y usar la amenaza de perder los datos como extorsión.
• Volver imposible de desinstalar una app maliciosa que funciona: si su ícono está malformado, el lanzador, la lista de apps de Ajustes y la pantalla de información de la app se cuelgan al intentar dibujarlo, que es justo por donde uno iría a borrarla.
• Cegar a las herramientas de seguridad que analizan un APK con las funciones estándar de Android: se caen al leerlo, como cualquier otro proceso.
• Meter el archivo trampa en una actualización posterior de una app ya instalada. Bitdefender lo plantea como posibilidad teórica y no da detalles.

Lo que la falla no hace, según la misma fuente: no ejecuta código, no lee tus datos ni consigue permisos que no le dieron. Es una falla de denegación de servicio: rompe, no roba.

Qué dijo Google, según Bitdefender

La cronología que publica Bitdefender arranca el 12 de agosto, cuando una muestra de malware bancario recolectada en circulación (un instalador de troyanos que nunca llegó a ejecutarse) tiraba abajo sus emuladores de análisis al instalarse. Lo reportó a Google el 20 de agosto por su programa de recompensas, y la respuesta fue «Won’t Fix (Not Reproducible)» (no se corregirá, no reproducible), con el reporte fuera del alcance del programa. El 25 de agosto mandó una versión ampliada con una prueba de concepto. Según Bitdefender, Google volvió a considerarlo fuera del alcance de una corrección de seguridad y lo derivó al equipo correspondiente para una posible inclusión en una versión futura de Android.

Bitdefender recuerda que Google ya había corregido en noviembre de 2016 una falla emparentada, la CVE-2016-6724, que también dejaba el teléfono reiniciándose y pedía un reseteo. BleepingComputer, que contó la historia, le preguntó a Google por el estado del arreglo y al cierre de su nota seguía esperando respuesta. O sea: la postura de Google la conocemos solo por lo que cuenta Bitdefender.

¿Un antivirus para el celular sirve acá?

En parte, y conviene leer la letra chica, porque quien lo dice es la misma empresa que vende la protección. Bitdefender afirma que, en sus pruebas, su Mobile Security detecta los archivos con esta malformación cuando llegan al teléfono —como descarga o como app ya instalada— y avisa; lo identifica como Android.Riskware.Ghostmap.rA. Pero también dice dos cosas en contra:

• Android no deja que una app de terceros bloquee una instalación ni borre otra app por su cuenta: el aviso llega, y la decisión de no instalar o desinstalar sigue siendo tuya. Lo describe como «una carrera» entre el usuario y la velocidad con que el teléfono lee el archivo, y con poco margen, porque la app ni siquiera necesita abrirse.
• En sus primeras pruebas, el propio proceso de análisis de su app —como cualquier herramienta que lea un APK con las funciones nativas de Android— también se caía al leer el archivo. Bitdefender explica que su detección revisa la estructura del archivo sin pasarlo por el lector de Android, pero no dice desde cuándo su app lo hace.

Bitdefender agrega que otras soluciones de seguridad pueden ofrecer una protección parecida. Nuestra lectura: un antivirus móvil suma una alarma temprana, sobre todo si instalás apps fuera de la tienda, pero no reemplaza a las medidas de arriba ni a la copia de seguridad.

🛒 Si querés esa alarma temprana en tu Android

Bitdefender Mobile Security – 3 Dispositivos – Licencia Digital 12 Meses Es el producto que Bitdefender nombra en su investigación: protección contra apps maliciosas, phishing y enlaces peligrosos para hasta 3 equipos Android, durante 12 meses. Ver precio de hoy →

La detección de GhostMap la afirma Bitdefender sobre sus propias pruebas, y aclara que el resultado puede variar según el equipo, la configuración y la versión; no encontramos una verificación independiente. Según la misma investigación, ninguna app de seguridad de terceros puede bloquear la instalación por su cuenta: avisa, y el que decide sos vos.

Fuentes

• Bitdefender Labs, «GhostMap: The Android flaw that crashes your phone before you open the app» (en inglés), Alecsandru Cătălin Daj, 5 de noviembre de 2026. Hallazgo, pruebas, cronología del reporte, respuesta de Google y detección. Traducciones de TCD.
• BleepingComputer, «GhostMap Android flaw lets malicious app trigger persistent boot loop» (en inglés), Bill Toulas, 5 de noviembre de 2026. Consulta a Google sin respuesta al cierre.
• Google, boletín de seguridad de Android de noviembre de 2016 (en inglés), con la CVE-2016-6724.
• Créditos de imagen: la portada y el esquema son fotomontajes editoriales asistidos por IA sobre la foto oficial de producto del Google Pixel 10, publicada por Google en la Google Store, el logo de Android y el ícono de Bitdefender. «The Android robot is reproduced or modified from work created and shared by Google and used according to terms described in the Creative Commons 3.0 Attribution License.»