Google устранила критическую RCE-уязвимость в Android 14–17
Google выпустила ноябрьский бюллетень безопасности Android и исправила критическую уязвимость CVE-2026-58868, затрагивающую Android 14, 15, 16 и 17. Ошибка потенциально позволяет удалённо выполнить код на устройстве без действий пользователя; исправление входит в уровень патча безопасности от 1 ноября 2026 года.
На 4 ноября Google не сообщала об атаках с эксплуатацией уязвимостей из этого бюллетеня. По состоянию на обновление от 3 ноября CVE-2026-58868 и другие проблемы из ноябрьского выпуска также отсутствовали в каталоге Known Exploited Vulnerabilities американского агентства CISA.
Что известно о CVE-2026-58868
Проблема описана как запись за пределы выделенного буфера из-за переполнения heap buffer в функции onOutputReceived файла FrameDecoder.cpp. В бюллетене и карточке CVE не раскрывается, каким путём атакующий мог бы достичь уязвимого кода.
Критический рейтинг Google предполагает, что встроенные механизмы защиты Android и сервисов Google отключены или обойдены. Android 12 и Android 13 в перечне затронутых версий не указаны, однако записи Google не отвечают на вопрос, присутствует ли ошибка в этих системах.
Для проверки необходимо открыть настройки устройства, перейти в раздел «О телефоне» или «О планшете», затем выбрать сведения о версии Android. Дата Android security update показывает фактический уровень патча: значение 2026-11-01 или новее закрывает CVE-2026-58868 и ошибки в компонентах Framework, System и Android Runtime.
Две даты патчей и другие критические ошибки
Уровень 2026-11-05 включает все исправления ноябрьского бюллетеня, в том числе проблемы ядра и компоненты Arm, Imagination Technologies, MediaTek, Unisoc и Qualcomm. Google использует два уровня, чтобы производители могли раньше выпускать общий для устройств набор исправлений, а затем включать полный пакет.
Всего бюллетень содержит 216 уязвимостей, из них 23 отмечены как критические. Ещё две критические проблемы удалённого выполнения кода — CVE-2026-58876 и CVE-2026-58936 — находятся в компоненте System. Шесть критических ошибок расположены в ядре, включая две в Bluetooth; наиболее серьёзная из них способна дать удалённому атакующему повышенные привилегии без взаимодействия с владельцем устройства.
Патчи Google Play system updates, доступные на устройствах с Android 10 и новее, в этом месяце включают критическую CVE-2026-58876, но не CVE-2026-58868. Поэтому для последней необходимо проверять именно дату Android security update, а не обновление системы Google Play.
Риск отказа в обслуживании через SMS
В бюллетень также вошла критическая CVE-2026-58882 в функции decodeWapPdu, которая обрабатывает WAP Push-сообщения, поступающие через SMS. Карточка CVE допускает удалённый отказ в обслуживании без действий пользователя.
Исследователь Mark B описал ошибку в той же функции в публикации «SMS of Death»: одно специально сформированное WAP Push-сообщение аварийно завершает процесс com.android.phone и обрывает активный вызов, включая экстренный. В его тестах сбой повторялся на нескольких моделях, сообщение не отображалось во входящих, а после перезапуска телефон снова пытался его обработать. Бюллетень Google не подтверждает, что эта публикация относится именно к CVE-2026-58882.
Контекст мобильных обновлений дополняет критические исправления Google соседствуют с рисками, где критические исправления Google соседствуют с рисками для SonicWall, SaaS и DNS. Для бизнеса практический вывод состоит в инвентаризации корпоративных Android-устройств по уровню патча, контроле сроков поставки обновлений производителями и операторами и приоритете версии 2026-11-05 там, где она доступна.