Критическая уязвимость в Android может позволить злоумышленнику удаленно выполнять код на телефоне без какого-либо действия со стороны пользователя, сообщила Google в своем ноябрьском бюллетене безопасности.
Уязвимость, CVE-2026-58868, затрагивает Android 14–17. Исправление для телефонов доступно с уровнем патча безопасности 2026-11-01 или более поздним, который производители телефонов и операторы связи выпускают по собственному графику.
По состоянию на 4 ноября, в бюллетене Google не сообщалось об атаках, использующих эту уязвимость. Ни одна из них не была включена в каталог известных эксплуатируемых уязвимостей, который ведет Агентство по кибербезопасности и защите инфраструктуры США, по состоянию на обновление от 3 ноября.
Уязвимость представляет собой возможную запись за пределами выделенной области памяти, вызванную переполнением буфера кучи в функции onOutputReceived файла FrameDecoder.cpp. Ни в бюллетене, ни в записи CVE для уязвимости не указано, как злоумышленник может получить доступ к этому коду.
Критическая оценка Google предполагает, что встроенные в Android и сервисы Google средства защиты отключены или обойдены.
Более старые версии, такие как Android 12 и 13, не указаны как затронутые уязвимостью. В записях Google не говорится, содержат ли они ее.
Страница справки Google содержит следующие шаги:
Дата обновления безопасности Android — это уровень патча безопасности телефона. Дата 2026-11-01 или более поздняя покрывает CVE-2026-58868 и другие уязвимости в компонентах Framework, System и Android runtime.
Дата 2026-11-05 или более поздняя покрывает все уязвимости в ноябрьском бюллетене, включая те, что находятся в ядре и в компонентах от Arm, Imagination Technologies, MediaTek, Unisoc и Qualcomm.
Google устанавливает две даты, чтобы производители телефонов могли быстрее выпустить набор исправлений, общих для всех устройств Android. Компания призывает их включать все исправления из бюллетеня.
Телефоны под управлением Android 10 или более поздней версии также могут получать некоторые исправления через обновления системы Google Play. В списке этого месяца для таких обновлений указана еще одна критическая уязвимость, CVE-2026-58876.
CVE-2026-58868 отсутствует в этом списке, поэтому для нее следует проверять дату обновления безопасности Android.
В бюллетене не указаны обходные пути для телефонов, которые еще не могут установить обновление.
Еще одна критическая уязвимость, CVE-2026-58882, может позволить удаленную атаку типа «отказ в обслуживании» без какого-либо действия со стороны пользователя, согласно ее записи CVE. Она находится в decodeWapPdu, функции в коде Android для сообщений WAP Push, поступающих через SMS.
29 октября исследователь, публикующийся под псевдонимом Mark B, опубликовал статью под названием “SMS of Death” об ошибке в той же функции. Ни в бюллетене, ни в записи CVE не указано, является ли CVE-2026-58882 этой ошибкой.
Одно некорректно сформированное сообщение WAP Push вызывает сбой com.android.phone и завершает любой активный вызов, включая экстренные, согласно статье. В тестах на нескольких моделях телефонов сбой происходил каждый раз.
Злоумышленнику нужен только номер телефона цели, и сообщение никогда не появляется во входящих. Телефон повторно отправляет сообщение каждый раз при запуске, поэтому он может сбоить при запуске до тех пор, пока сообщение не будет удалено.
Приложение с доказательством концепции, которое отправляет такое сообщение с одного телефона на другой, общедоступно. Телефоны под управлением Android 12 и 13 используют тот же код, но не получают исправление, которое есть в более новых версиях, говорит исследователь.
Ноябрьский бюллетень Google содержит список из 216 уязвимостей, 23 из которых оценены как критические. Еще две критические уязвимости могут позволить удаленное выполнение кода: CVE-2026-58876 и CVE-2026-58936, обе в компоненте System Android.
Шесть критических уязвимостей находятся в ядре, две из них — в коде Bluetooth. Наиболее серьезная уязвимость ядра может позволить удаленному злоумышленнику получить повышенные привилегии без действия со стороны пользователя.
Патч уровня 2026-11-05 также исправляет критические уязвимости в коде модема MediaTek и в закрытом компоненте Qualcomm. В своем ноябрьском бюллетене MediaTek описывает свои критические уязвимости модема как запись за пределами выделенной области памяти и заявляет, что не осведомлена о каком-либо активном использовании.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Swati Khandelwal
