Un fallo de WhatsApp deja ver tus fotos con el celular bloqueado: cómo cerrarlo hoy
Afecta a Android, se activa con una videollamada entrante y no pide PIN, patrón ni huella. Hay una forma de bloquearlo desde los permisos, sin esperar la actualización.
Una videollamada entrante de WhatsApp en un Android bloqueado permite llegar a la galería completa del teléfono sin desbloquearlo, a través de los efectos de la llamada. Requiere tener el equipo en la mano. La forma más rápida de cerrarlo es cambiar el permiso de fotos de WhatsApp a acceso limitado.
Qué hace exactamente el fallo
El problema no está en un exploit ni en un malware: está en la propia interfaz de las videollamadas de WhatsApp, que sigue accesible cuando el teléfono está bloqueado. Desde ahí, una cadena de toques termina abriendo el selector de fotos del sistema con toda la galería a la vista.
La ruta que se hizo pública el 2 de septiembre de 2026 es esta:
- Entra una videollamada de WhatsApp al teléfono bloqueado.
- Se desliza para atender.
- Se toca el ícono de efectos dentro de la llamada.
- Se cambia a la pestaña de fondos.
- Se elige «Crear con Meta AI» y después «Editar foto».
- Se abre la galería completa del equipo, sin pedir PIN, patrón ni huella.
Quien lo hizo público fue el investigador de seguridad José Rodríguez, que lo demostró en video y avisó tanto a Meta como a Google antes de difundirlo. Su descripción del problema es la que mejor lo resume:
«Está a la vista. No está escondido, no es una función secreta. No es un hackeo.»
José Rodríguez, investigador de seguridad, 2 de septiembre de 2026
Acceso limitado a fotos es una opción de permisos de Android que deja elegir manualmente qué imágenes puede ver una aplicación, en lugar de darle la galería entera. La app sigue funcionando, pero solo alcanza las fotos que vos habilitaste.
Qué teléfonos están afectados
No todos los Android se comportan igual, y esa es la parte más útil del asunto: la capa del fabricante cambia el resultado. Estos son los equipos donde se probó públicamente hasta ahora.
| Equipo | Sistema y capa | ¿Llegó a la galería? |
|---|---|---|
| Google Pixel 6 Pro | Android 17, con el último parche de seguridad instalado | Sí |
| Oppo K13 | ColorOS 16 | Sí |
| Samsung Galaxy S25 Ultra | One UI 8.5 | No, lo bloqueó |
El dato del Pixel es el que más incomoda: tener el parche de seguridad de Android al día no evitó el problema, porque el agujero no está en el sistema sino en lo que la aplicación deja hacer sobre la pantalla de bloqueo. Y que One UI lo haya frenado sugiere que algunas capas ya restringen por su cuenta qué puede abrirse desde ahí, aunque ningún fabricante lo confirmó públicamente.
Que tu modelo no esté en la tabla no significa que esté a salvo: significa que nadie lo probó en público todavía. Por eso conviene comprobarlo vos mismo.
Cómo comprobarlo en tu propio teléfono
Se hace en dos minutos y necesitás un segundo teléfono, o pedirle a alguien de confianza que te llame. Es tu equipo y tus fotos: no hay nada turbio en verificarlo.
- Bloqueá tu teléfono como lo dejás siempre.
- Pedí que te hagan una videollamada de WhatsApp desde otro número.
- Atendé sin desbloquear.
- Buscá el ícono de efectos dentro de la llamada y seguí la ruta hacia fondos y las opciones de Meta AI.
- Fijate si en algún momento te pide PIN, patrón o huella.
Si el teléfono te pide desbloquear en cualquier paso, tu equipo está cortando la cadena. Si llegás a ver la galería, estás afectado y conviene aplicar el cambio de permiso de la sección siguiente.
Aclaración: esta comprobación no se hizo en un equipo propio para este artículo. Los pasos y los resultados por modelo son los que reportó públicamente el investigador y replicaron varios medios especializados. Si lo probás en tu teléfono, tu resultado vale más que cualquier tabla.
Cómo cerrarlo ahora, sin esperar la actualización
La medida concreta que reduce el daño hoy es quitarle a WhatsApp el acceso a toda la galería y dejarle solo las fotos que vos elijas. Si alguien llega igual al selector, se encuentra con un puñado de imágenes que vos habilitaste y no con años de fotos.
En Android, paso a paso
- Entrá en Ajustes y después en Aplicaciones.
- Buscá WhatsApp en la lista y abrilo.
- Tocá Permisos y entrá en Fotos y videos.
- Cambiá de «Permitir todo» a «Permitir solo contenido seleccionado» o el nombre equivalente en tu capa.
- Elegí qué imágenes querés que WhatsApp pueda ver.
Los nombres exactos de los menús cambian según el fabricante y la versión de Android. La opción existe desde Android 14 en adelante; si tu equipo es anterior, es probable que solo tengas permitir o denegar.
El costo de esto es real y conviene saberlo antes: cada vez que quieras mandar una foto nueva vas a tener que habilitarla desde el selector del sistema. Es un paso más por cada envío. Para mucha gente compensa; para quien manda fotos todo el día, molesta.
Y lo obvio, que sigue siendo lo más importante
Actualizá WhatsApp desde la tienda de aplicaciones y revisá que las actualizaciones automáticas estén activas. La corrección de fondo viene por ahí, no por los ajustes.
Qué dijo WhatsApp y qué no está claro todavía
Meta reconoció el problema con una declaración breve, entregada a la publicación de seguridad que difundió el caso:
«Empezamos a distribuir una corrección para este problema, que se limita a un caso poco frecuente en el que alguien tiene acceso físico al dispositivo del usuario.»
Portavoz de WhatsApp, 3 de septiembre de 2026
Acá hay una contradicción que conviene no tapar. Ese mismo 3 de septiembre, otras publicaciones especializadas informaban que Meta y Google habían sido notificados pero que todavía no había una corrección disponible. Las dos versiones circulan al mismo tiempo y ninguna trae el dato que las dirimiría: el número de versión de WhatsApp que incluye el arreglo.
Hasta que Meta publique esa versión, no hay forma de que un usuario sepa si su WhatsApp ya está corregido. Por eso el cambio de permisos sirve: no depende de esa incógnita.
Tampoco hay, al momento de escribir esto, un identificador CVE asignado al fallo ni un comunicado público de Google sobre si Android hará algo de su lado.
Qué tan grave es, sin dramatizar
Meta tiene un punto cuando dice que hace falta acceso físico: nadie te va a ver las fotos desde el otro lado del mundo con esto. No es un ataque remoto ni algo que se dispare solo.
Pero «acceso físico» describe situaciones bastante comunes: el teléfono sobre el escritorio de la oficina, la mesa de un bar, un control en el que entregás el equipo, un teléfono que se te perdió o te robaron. Precisamente las situaciones para las que uno pone una pantalla de bloqueo. Que el ataque necesite tu teléfono en la mano no lo vuelve raro, lo vuelve doméstico.
Vale la pena aclarar qué no está comprobado. No hay información pública sobre si el bloqueo con huella que ofrece la propia WhatsApp corta esta cadena, ni sobre si ocultar el contenido de las notificaciones en la pantalla bloqueada cambia algo. Si alguien te recomienda esas medidas como solución, está suponiendo. El cambio de permisos es la única mitigación que se reportó y que actúa directamente sobre lo que el fallo alcanza: la galería.
Preguntas frecuentes
¿Afecta a iPhone?
No hay reportes de que este fallo concreto afecte a iOS. Todas las pruebas públicas se hicieron sobre Android. Eso no descarta que existan rutas parecidas en iPhone, pero por ahora nadie las documentó para este caso.
¿Pueden leer mis conversaciones con esto?
Según lo que se reportó, la ruta termina en el selector de fotos del sistema, no en los chats. Da acceso a la galería del teléfono, que incluye tanto las fotos que recibiste por WhatsApp como todo lo demás que tengas guardado. El contenido de las conversaciones no aparece por esta vía.
Si desinstalo WhatsApp por unos días, ¿me protejo?
Sí, pero es desproporcionado. El fallo necesita que la aplicación esté instalada y reciba la llamada, así que sin WhatsApp no hay ruta. Dicho eso, cambiar el permiso de fotos a acceso limitado te deja igual de cubierto en lo que importa y no te deja sin la aplicación.
¿Cómo sé si mi WhatsApp ya tiene la corrección?
Por ahora no se puede saber, porque Meta no publicó el número de versión que incluye el arreglo. Lo único que podés hacer es tener la aplicación actualizada y volver a hacer la comprobación de la videollamada cada tanto para ver si el comportamiento cambió en tu equipo.
Tengo un Samsung, ¿estoy tranquilo?
El único Samsung probado en público fue un Galaxy S25 Ultra con One UI 8.5, y bloqueó el acceso. No hay confirmación de que todos los modelos y todas las versiones de One UI se comporten igual. Si tenés un Samsung distinto, la comprobación de dos minutos te saca la duda.
En resumen
El fallo es real, es fácil de reproducir y no necesita conocimientos técnicos, pero tampoco es el fin del mundo: hace falta tener tu teléfono en la mano. Comprobalo en tu equipo con una videollamada, cambiá el permiso de fotos de WhatsApp a acceso limitado si estás afectado, y mantené la aplicación actualizada. Con eso cubrís lo que se puede cubrir hoy, sin depender de una corrección cuya fecha nadie confirmó.
Si querés seguirle el rastro a lo que va cambiando en la aplicación, tenemos todo agrupado en nuestra sección de WhatsApp.
