AndroidGoogle опубликовала ноябрьский бюллетень безопасности Android . Главная уязвимость, CVE-2026-58868, может привести к удалённому выполнению кода в Android 14, 15, 16, 16 QPR2 и 17 без действий пользователя и дополнительных привилегий. Исправление входит в уровень безопасности 2026-11-01. Сроки появления обновления на смартфонах и планшетах зависят от модели, производителя и оператора связи.
Что известно о CVE-2026-58868
Ошибка находится в функции onOutputReceived файла FrameDecoder.cpp. Из-за переполнения буфера функция может записать данные за пределами отведённой области памяти. Google пока не раскрыла, как злоумышленник может передать данные уязвимой функции.
Переполнение буфера в куче – запись данных за пределами буфера в динамически выделенной памяти. Она может повредить соседние данные, которые использует программа.
Google оценила уязвимость как критическую, исходя из возможных последствий при отключённых или обойдённых механизмах защиты Android и сервисов Google. В списке затронутых версий Android 12 и 13 отсутствуют. По этому списку нельзя установить, есть ли ошибка в их коде.
На Google не сообщала в бюллетене об атаках с использованием перечисленных уязвимостей. CVE-2026-58868 отсутствовала в каталоге известных эксплуатируемых уязвимостей CISA от .
Как проверить обновление безопасности Android
В справке Google указан следующий путь:
- Откройте «Настройки».
- Выберите «О телефоне» или «О планшете», затем «Версия Android».
- Посмотрите дату в поле «Обновление системы безопасности Android». На том же экране отдельно указана дата обновления системы через Google Play.
| Уровень исправлений | Что входит |
|---|---|
| 2026-11-01 | Исправления для Framework, System и среды выполнения Android, включая CVE-2026-58868. |
| 2026-11-05 | Все применимые исправления из ноябрьского бюллетеня, включая ядро и компоненты Arm, Imagination Technologies, MediaTek, Unisoc и Qualcomm. |
Два уровня позволяют производителям быстрее выпускать исправления, общие для устройств Android. Google рекомендует включать все применимые исправления. Указанные даты обозначают состав пакета. Например, Samsung включила CVE-2026-58868 в ноябрьский пакет безопасности Galaxy.
Устройства с Android 10 и новее могут получать часть исправлений через системное обновление Google Play. В ноябрьский список входит критическая CVE-2026-58876 в компоненте медиакодеков. Для CVE-2026-58868 ориентируйтесь на дату обновления системы безопасности Android. Обходного решения для устройств, которым пакет пока недоступен, Google в бюллетене не приводит.
Проверить наличие пакета вручную можно в разделе «Настройки», «Система», «Обновления ПО». На 4 ноября последним в списке бюллетеней Pixel оставалось октябрьское обновление Pixel с уровнем 2026-10-05.
«SMS of Death» может прервать звонки без участия пользователя
Google также закрыла CVE-2026-58882, критическую уязвимость в функции decodeWapPdu. Она обрабатывает служебные сообщения WAP Push, которые доставляются через SMS. Переполнение целого числа может привести к чтению за пределами буфера и удалённому отказу в обслуживании без действий владельца устройства.
Исследователь Mark B описал сбой «SMS of Death» . Указанное им исправление в AOSP относится к той же ошибке Android A-517376969, которую Google связала с CVE-2026-58882. Исправление перехватывает исключение и удаляет из очереди сообщение, вызвавшее сбой.
По данным исследователя, злоумышленнику достаточно знать номер телефона. Сообщение не появляется во входящих, а при его обработке процесс com.android.phone аварийно завершается и прерывает текущий звонок, в том числе вызов экстренных служб. Пока сообщение остаётся в очереди, телефон пытается обработать его при каждом запуске. По словам Mark B, на протестированных моделях Pixel и Samsung Galaxy сбой воспроизводился каждый раз. Он опубликовал приложение для демонстрации атаки.
Mark B сообщил о проблеме Google . В отчёте он относит исправление к октябрьскому выпуску, а Google указывает его в ноябрьском бюллетене на уровне 2026-11-01. По данным исследователя, Android 12 и 13 содержат тот же уязвимый код и остались без этого исправления. Для случая повторных сбоев при загрузке исследователь описал восстановление через ADB с удалением сообщения из очереди.
Другие критические уязвимости ноября
В бюллетене Google перечислены 216 уникальных уязвимостей, из них 23 критические. CVE-2026-58876 и CVE-2026-58936 также допускают удалённое выполнение кода. Из шести критических уязвимостей в ядре две связаны с Bluetooth. Самая опасная проблема ядра допускает удалённое повышение привилегий без участия пользователя.
| Уровень | Компонент и тип проблемы | Критические CVE |
|---|---|---|
| 2026-11-01 | Framework, удалённое выполнение кода | CVE-2026-58868 |
| 2026-11-01 | System, удалённое выполнение кода | CVE-2026-58876, CVE-2026-58936 |
| 2026-11-01 | System, повышение привилегий | CVE-2026-55275, CVE-2026-55283, CVE-2026-58984 |
| 2026-11-01 | System, отказ в обслуживании | CVE-2026-58814, CVE-2026-58882 |
| 2026-11-05 | Ядро, повышение привилегий через Bluetooth | CVE-2026-53256, CVE-2026-89774 |
| 2026-11-05 | Ядро, повышение привилегий в pKVM и HID | CVE-2026-59044, CVE-2026-59045, CVE-2026-80604 |
| 2026-11-05 | Ядро, раскрытие информации в pKVM | CVE-2026-59048 |
| 2026-11-05 | Модемы MediaTek, запись за пределами буфера | CVE-2026-20499, CVE-2026-20519, CVE-2026-20520, CVE-2026-20545, CVE-2026-20546, CVE-2026-20547, CVE-2026-20548, CVE-2026-20549 |
| 2026-11-05 | Закрытый компонент Qualcomm | CVE-2026-25285 |
В ноябрьском бюллетене MediaTek компания сообщила, что ей не известно об эксплуатации перечисленных в нём уязвимостей. Две из восьми критических ошибок модемов в списке Google, CVE-2026-20519 и CVE-2026-20520, MediaTek описала в октябре.
Вывод
Если в настройках устройства указан уровень безопасности за октябрь или более ранний месяц, проверьте наличие обновлений ПО. После установки пакета сверьте дату ещё раз. Уровень от 1 ноября закрывает основную уязвимость, а уровень от 5 ноября подтверждает установку всех применимых исправлений из бюллетеня.
