Google otklanja kritičnu Android ranjivost bez interakcije korisnika
Kritična zakrpa za Android 14–17
Google je u novembarskom bezbednosnom biltenu objavio ispravku za CVE-2026-58868, kritičnu ranjivost koja na uređajima sa Androidom 14, 15, 16 i 17 može omogućiti daljinsko izvršavanje koda bez interakcije korisnika. Zaštita od tog propusta stiže sa nivoom Android bezbednosne zakrpe 2026-11-01 ili novijim.
Google je 4. novembra naveo da nema prijavljenih napada koji koriste propuste iz ovog biltena. Ranjivosti takođe nisu bile u katalogu Known Exploited Vulnerabilities američke agencije CISA, prema ažuriranju od 3. novembra.
Tehnički uzrok i obuhvat ispravke
CVE-2026-58868 je mogući upis van granica memorije, nastao prelivanjem heap bafera u funkciji onOutputReceived datoteke FrameDecoder.cpp. Ni bezbednosni bilten ni CVE zapis ne opisuju put kojim bi napadač mogao da dosegne taj deo koda.
Kritična ocena polazi od pretpostavke da su ugrađene zaštite Androida i Google servisa isključene ili zaobiđene. Android 12 i Android 13 nisu navedeni među pogođenim verzijama, ali Googleovi zapisi ne potvrđuju ni da li te verzije sadrže isti propust.
Kompanija koristi dva nivoa zakrpa. Datum 2026-11-01 obuhvata CVE-2026-58868 i propuste u komponentama Framework, System i Android Runtime, dok nivo 2026-11-05 donosi sve ispravke iz novembarskog biltena, uključujući kernel i delove koje isporučuju Arm, Imagination Technologies, MediaTek, Unisoc i Qualcomm.
Još kritičnih propusta u novembarskom biltenu
Bilten sadrži 216 ranjivosti, od kojih su 23 označene kao kritične. Među njima su CVE-2026-58876 i CVE-2026-58936, dva propusta u Android System komponenti koja mogu omogućiti daljinsko izvršavanje koda. Za uređaje sa Androidom 10 ili novijim deo ispravki može stići i kroz Google Play sistemska ažuriranja, ali CVE-2026-58868 nije na listi tih ažuriranja.
Drugi kritični propust, CVE-2026-58882, povezan je sa funkcijom decodeWapPdu u obradi WAP Push poruka pristiglih SMS-om. CVE zapis navodi mogućnost daljinskog uskraćivanja usluge bez interakcije korisnika. Istraživač Mark B je opisao kvar u istoj funkciji pri kojem jedna neispravna WAP Push poruka ruši proces com.android.phone, prekida aktivni poziv i može ponavljati rušenje pri pokretanju uređaja dok se poruka ne ukloni.
U biltenu su navedeni i kritični propusti u kernelu, uključujući dva u Bluetooth kodu, kao i ispravke za MediaTek modem i zatvorenu Qualcomm komponentu. MediaTek je svoje kritične modem propuste opisao kao upise van granica memorije i naveo da nema saznanja o aktivnoj zloupotrebi.
Provera uređaja i poslovni prioriteti
Datum zakrpe proverava se u podešavanjima kroz stavke O telefonu ili O tabletu, zatim Android verzija. Potrebno je razlikovati datum Android bezbednosnog ažuriranja od datuma Google Play sistemskog ažuriranja: za CVE-2026-58868 merodavan je prvi datum.
Upravljanje mobilnim uređajima treba povezati sa pregled zakrpa i vidljivost nad verzijama jer pregled zakrpa i vidljivost nad verzijama ostaju presudni za pravovremeno smanjenje izloženosti. Praktičan zaključak za poslovanje je da treba evidentirati uređaje ispod nivoa 2026-11-01, planirati prelazak na 2026-11-05 gde je dostupan i jasno označiti modele za koje proizvođač ili operater još nije isporučio ažuriranje.