BlockBeats, 5 листопада: Google недавно опублікувала безпекове оголошення для Android за листопад 2026 року, у якому виправлено понад 200 вразливостей. Найсерйознішою є CVE-2026-58868 (Critical) у компоненті Framework — це вразливість типу переповнення буфера купи, що призводить до запису за межами буфера, яка знаходиться у функції onOutputReceived у FrameDecoder.cpp.
Ця вразливість дозволяє зловмисникам виконувати довільний код на відстані без взаємодії з користувачем та без додаткових прав, що є типовим прикладом атаки Zero-Click. Після успішного використання зловмисник може повністю контролювати вразливий пристрій. На даний момент Google не підтвердила наявність експлуатації у природних умовах, а також не спостерігалася публічна демонстрація (PoC). Під впливом знаходяться версії: Android 14, 15, 16, 16 QPR2 та 17. Патчі розповсюджуються на двох рівнях:
· Рівень безпеки: ≥ 2026-11-01: включено виправлення для компонентів Framework та System, зокрема CVE-2026-58868;
· Рівень безпеки: ≥ 2026-11-05: виправлено всі вразливості циклу, включаючи проблеми ядра та чіпів MediaTek, Qualcomm тощо.
CISO慢霧 23pds зазначив, що якщо ця вразливість буде використана в дикій природі, наслідки будуть надзвичайно серйозними. Андроїд-пристрої становлять приблизно 70% глобального ринку смартфонів, і масштабне використання може призвести до масового зараження пристроїв. Рекомендуємо користувачам негайно перевірити та оновити систему: перейдіть до «Налаштування → Про телефон → Версія Android», щоб переконатися, чи «Рівень безпеки» досяг 2026-11-05 або вище. Час надсилання оновлень виробниками пристроїв може відрізнятися, тому рекомендується спочатку оновити до повного рівня виправлень.