Критична уязвимост в Android може да позволи на атакуващ да изпълни код на телефон отдалечено и без каквото и да е действие от страна на потребителя, съобщиха от Google в своя ноемврийски бюлетин за сигурност.
Уязвимостта, проследявана като CVE-2026-58868, засяга версиите на Android от 14 до 17. Телефоните получават корекцията с ниво на корекции за сигурност от 2026-11-01 или по-късно, което производителите на устройства и мобилните оператори разпространяват по свои собствени графици.
Към 4 ноември в бюлетина на Google не се съобщава за атаки, експлоатиращи тези уязвимости. Нито една от тях не е била включена и в каталога на известните експлоатирани уязвимости (Known Exploited Vulnerabilities), поддържан от Агенцията за киберсигурност и инфраструктурна сигурност на САЩ (CISA), към неговото обновяване от 3 ноември.
Уязвимостта представлява възможен запис извън допустимите граници на паметта (out-of-bounds write), причинен от препълване на буфера в динамичната памет (heap buffer overflow) във функцията onOutputReceived на файла FrameDecoder.cpp. Нито бюлетинът, нито CVE записът на уязвимостта посочват как атакуващият би могъл да достигне до този код.
Оценката „Критична“ от страна на Google предполага, че защитите, вградени в Android и услугите на Google, са изключени или заобиколени.
По-старите версии, като Android 12 и 13, не са посочени като засегнати от проблема. В записите на Google не се уточнява дали те съдържат тази уязвимост.
Как да проверите своя телефон
Помощната страница на Google предоставя следните стъпки:
- Отворете приложението за настройки (Settings).
- Докоснете „За телефона“ (About phone) или „За таблета“ (About tablet), а след това „Версия на Android“ (Android version).
- Намерете датите за обновяването за сигурност на Android (Android security update) и системното обновяване на Google Play (Google Play system update).
Датата на обновяването за сигурност на Android представлява нивото на корекции за сигурност на телефона. Дата 2026-11-01 или по-нова покрива CVE-2026-58868 и останалите уязвимости в компонентите Framework, System и Android runtime.
Дата 2026-11-05 или по-нова покрива всички уязвимости в ноемврийския бюлетин, включително тези в ядрото (kernel) и в компоненти от Arm, Imagination Technologies, MediaTek, Unisoc и Qualcomm.
Google задава две дати, за да могат производителите на телефони по-бързо да доставят набор от корекции за сигурност, общи за всички устройства с Android. Компанията ги насърчава да включат всяка корекция от бюлетина.
Телефоните с Android 10 или по-нова версия могат да получат някои корекции за сигурност и чрез системните обновявания на Google Play. Списъкът за тези обновявания през този месец включва друга критична уязвимост – CVE-2026-58876.
CVE-2026-58868 не е в този списък, така че датата, която трябва да се провери за нея, е тази на обновяването за сигурност на Android.
В бюлетина не се предоставя заобиколно решение за телефони, които все още не могат да инсталират обновяването.
Уязвимост за отдалечен отказ от услуга в кода за текстови съобщения на Android
Друга критична уязвимост, CVE-2026-58882, може да позволи атака за отдалечен отказ от услуга (DoS) без взаимодействие с потребителя, според нейния CVE запис. Тя се намира в decodeWapPdu – функция в кода на Android за WAP Push съобщения, които пристигат чрез SMS.
На 29 октомври изследовател, който публикува под името Mark B, сподели технически анализ, озаглавен „SMS на смъртта“ (SMS of Death), относно грешка в същата функция. Нито бюлетинът, нито CVE записът уточняват дали CVE-2026-58882 е същата тази грешка.
Едно специално форматирано WAP Push съобщение предизвиква срив в процеса com.android.phone и прекратява всяко активно обаждане, включително спешни повиквания, според анализа. При тестове върху няколко модела телефони сривът се е случвал всеки път.
На атакуващия му е необходим единствено телефонният номер на жертвата, а съобщението никога не се появява във входящата кутия. Телефонът прави повторен опит за обработка на съобщението при всяко стартиране, така че може да се срива при включване, докато съобщението не бъде премахнато.
Публично достъпно е демонстрационно приложение (proof-of-concept), което изпраща такова съобщение от един телефон на друг. Устройствата с Android 12 и 13 изпълняват същия код, но не получават корекцията за сигурност, която е налична за по-новите версии, посочва изследователят.
Други критични уязвимости
Ноемврийският бюлетин на Google изброява 216 уязвимости, 23 от които са оценени като критични. Още две критични уязвимости могат да позволят отдалечено изпълнение на код: CVE-2026-58876 и CVE-2026-58936, и двете в компонента System на Android.
Шест критични уязвимости се намират в ядрото, като две от тях са в кода за Bluetooth. Най-сериозната уязвимост в ядрото може да позволи на отдалечен атакуващ да получи повишени привилегии без взаимодействие с потребителя.
Нивото на корекции за сигурност от 2026-11-05 отстранява също така критични уязвимости в кода на модемите на MediaTek и в компонент със затворен код на Qualcomm. В своя ноемврийски бюлетин MediaTek описва критичните си уязвимости в модемите като запис извън допустимите граници на паметта и заявява, че няма данни за активно експлоатиране.