Ноябрьский бюллетень безопасности Google описывает критическую уязвимость CVE-2026-58868: злоумышленник потенциально может удалённо выполнить код на устройстве без действий со стороны владельца. Проблема затрагивает Android 14–17 и связана с возможной записью за пределы буфера из-за переполнения heap-буфера в функции
Оценка Google «Критическая» предполагает, что встроенные средства защиты Android и Google отключены или обойдены. Android 12 и 13 в списке затронутых версий не указаны, но в документах Google не сказано, есть ли в них та же уязвимость. Патч безопасности Android с датой 2026-11-01 или новее закрывает CVE-2026-58868. Обновления выпускают производители телефонов и операторы, поэтому сроки зависят от конкретного устройства.
Проверить дату патча можно в настройках: откройте «О телефоне» или «О планшете», затем «Версия Android». Там указаны даты обновления безопасности Android и обновления системы Google Play. Первая дата и есть уровень патча безопасности устройства. Для CVE-2026-58868 нужна дата 2026-11-01 или новее; такой уровень закрывает также другие уязвимости компонентов Framework, System и Android runtime.
Дата 2026-11-05 или новее означает, что установлены исправления для всех проблем из ноябрьского бюллетеня, включая уязвимости ядра и компонентов Arm, Imagination Technologies, MediaTek, Unisoc и Qualcomm. Google указывает две даты, чтобы производители могли быстрее выпускать общий набор исправлений, и рекомендует включать в обновления все патчи из бюллетеня.
Устройства с Android 10 и новее могут получать некоторые исправления через обновления системы Google Play. В списке за этот месяц есть ещё одна критическая уязвимость, CVE-2026-58876, но CVE-2026-58868 в него не входит: для неё нужно смотреть именно дату обновления безопасности Android. Для телефонов, которые пока не могут установить патч, бюллетень не предлагает обходного решения.
Ещё одна критическая проблема, CVE-2026-58882, может привести к удалённому отказу в обслуживании без участия пользователя. Она затрагивает
По описанию Mark B, одного специально сформированного WAP Push-сообщения достаточно, чтобы аварийно завершить работу
Mark B также сообщил, что публичное приложение для проверки уязвимости может отправить такое сообщение с одного телефона на другой. По словам исследователя, Android 12 и 13 используют тот же код, но не получают исправление, выпущенное для более новых версий. Это утверждение относится к его разбору: бюллетень Google отдельно не подтверждает связь с CVE-2026-58882.
Всего ноябрьский бюллетень Google перечисляет 216 уязвимостей, 23 из них имеют критический рейтинг. Ещё две критические ошибки удалённого выполнения кода, CVE-2026-58876 и CVE-2026-58936, находятся в компоненте System. Шесть критических уязвимостей обнаружены в ядре, включая две в коде Bluetooth. Самая серьёзная из них может позволить удалённому атакующему получить повышенные привилегии без действий пользователя.
Патч 2026-11-05 также закрывает критические уязвимости в коде модемов MediaTek и в закрытом компоненте Qualcomm. В ноябрьском бюллетене MediaTek описывает критические ошибки модемов как записи за пределы буфера и сообщает, что не располагает сведениями об их активной эксплуатации. По состоянию на 4 ноября Google не сообщала об атаках с использованием перечисленных в бюллетене уязвимостей; в обновлении от 3 ноября их также не было в каталоге активно эксплуатируемых уязвимостей CISA.
onOutputReceived файла FrameDecoder.cpp. Ни бюллетень Google, ни запись CVE не объясняют, как именно атакующий может добраться до уязвимого кода. Оценка Google «Критическая» предполагает, что встроенные средства защиты Android и Google отключены или обойдены. Android 12 и 13 в списке затронутых версий не указаны, но в документах Google не сказано, есть ли в них та же уязвимость. Патч безопасности Android с датой 2026-11-01 или новее закрывает CVE-2026-58868. Обновления выпускают производители телефонов и операторы, поэтому сроки зависят от конкретного устройства.
Проверить дату патча можно в настройках: откройте «О телефоне» или «О планшете», затем «Версия Android». Там указаны даты обновления безопасности Android и обновления системы Google Play. Первая дата и есть уровень патча безопасности устройства. Для CVE-2026-58868 нужна дата 2026-11-01 или новее; такой уровень закрывает также другие уязвимости компонентов Framework, System и Android runtime.
Дата 2026-11-05 или новее означает, что установлены исправления для всех проблем из ноябрьского бюллетеня, включая уязвимости ядра и компонентов Arm, Imagination Technologies, MediaTek, Unisoc и Qualcomm. Google указывает две даты, чтобы производители могли быстрее выпускать общий набор исправлений, и рекомендует включать в обновления все патчи из бюллетеня.
Устройства с Android 10 и новее могут получать некоторые исправления через обновления системы Google Play. В списке за этот месяц есть ещё одна критическая уязвимость, CVE-2026-58876, но CVE-2026-58868 в него не входит: для неё нужно смотреть именно дату обновления безопасности Android. Для телефонов, которые пока не могут установить патч, бюллетень не предлагает обходного решения.
Ещё одна критическая проблема, CVE-2026-58882, может привести к удалённому отказу в обслуживании без участия пользователя. Она затрагивает
decodeWapPdu, функцию обработки WAP Push-сообщений, доставляемых через SMS. 29 октября исследователь под именем Mark B опубликовал разбор «SMS смерти» об ошибке в той же функции. Google и запись CVE не подтверждают, что речь идёт об одной и той же уязвимости. По описанию Mark B, одного специально сформированного WAP Push-сообщения достаточно, чтобы аварийно завершить работу
com.android.phone и оборвать любой текущий звонок, в том числе экстренный. В испытаниях на нескольких моделях сбой происходил каждый раз. Атакующему нужен только номер телефона жертвы; сообщение, как утверждает исследователь, не появляется во входящих. После перезагрузки телефон может повторно обработать его и снова аварийно завершить работу, пока сообщение не удалят. Mark B также сообщил, что публичное приложение для проверки уязвимости может отправить такое сообщение с одного телефона на другой. По словам исследователя, Android 12 и 13 используют тот же код, но не получают исправление, выпущенное для более новых версий. Это утверждение относится к его разбору: бюллетень Google отдельно не подтверждает связь с CVE-2026-58882.
Всего ноябрьский бюллетень Google перечисляет 216 уязвимостей, 23 из них имеют критический рейтинг. Ещё две критические ошибки удалённого выполнения кода, CVE-2026-58876 и CVE-2026-58936, находятся в компоненте System. Шесть критических уязвимостей обнаружены в ядре, включая две в коде Bluetooth. Самая серьёзная из них может позволить удалённому атакующему получить повышенные привилегии без действий пользователя.
Патч 2026-11-05 также закрывает критические уязвимости в коде модемов MediaTek и в закрытом компоненте Qualcomm. В ноябрьском бюллетене MediaTek описывает критические ошибки модемов как записи за пределы буфера и сообщает, что не располагает сведениями об их активной эксплуатации. По состоянию на 4 ноября Google не сообщала об атаках с использованием перечисленных в бюллетене уязвимостей; в обновлении от 3 ноября их также не было в каталоге активно эксплуатируемых уязвимостей CISA.
