Сообщение BlockBeats, 5 ноября: Google недавно выпустила безопасностное уведомление Android за ноябрь 2026 года, в котором устранено более 200 уязвимостей. Самой серьезной является CVE-2026-58868 (Critical) в компоненте Framework — это уязвимость переполнения буфера кучи, приводящая к записи за пределами буфера, расположенная в функции onOutputReceived в FrameDecoder.cpp.
Эта уязвимость позволяет злоумышленникам удаленно выполнять произвольный код без взаимодействия с пользователем и без дополнительных прав, что является типичной атакой типа «нулевой клик» (Zero-Click). После успешного эксплуатации злоумышленник может полностью контролировать затронутое устройство. На данный момент Google не подтверждала наличие эксплуатации в дикой природе и не наблюдала публичных доказательств концепции (PoC). Затронутыми версиями являются Android 14, 15, 16, 16 QPR2 и 17. Патчи распространяются в два уровня:
· Уровень безопасности: ≥ 2026-11-01: включены исправления для компонентов Framework и System, включая CVE-2026-58868;
Уровень безопасности ≥ 2026-11-05: устраняет все уязвимости этого цикла, включая проблемы ядра и чипов MediaTek, Qualcomm и других.
CISO SlowMist 23pds отметил, что если уязвимость будет использована в дикой природе, последствия будут чрезвычайно серьезными. Андроид-устройства составляют около 70% от общего числа смартфонов worldwide; при массовом использовании это может привести к широкому заражению устройств. Рекомендуется пользователям немедленно проверить и обновить систему: перейдите в «Настройки → О телефоне → Версия Android» и убедитесь, что «Уровень безопасности» достигает 2026-11-05 или выше. Время отправки обновлений производителями устройств может различаться; рекомендуется в первую очередь обновиться до полного уровня исправлений.