В бюллетене безопасности Android за ноябрь 2026 года Google описала уязвимости, затрагивающие Android 14, 15, 16, 16-qpr2 и 17, а также компоненты ядра и драйверы партнёров. Самая серьёзная из них позволяет удалённо выполнять код в компоненте Framework без дополнительных прав и без участия пользователя. Исправления вошли в уровни патча 2026-11-01 и 2026-11-05. Уровень патча - это дата, по которой можно проверить, какие исправления уже установлены на устройстве.
Компоненты Framework, System и ядра Android
Помимо Framework, бюллетень затрагивает компонент System, Android Runtime (среду выполнения приложений Android) и ядро Android. Для каждого компонента Google указывает тип уязвимости: удалённое выполнение кода, повышение привилегий, раскрытие информации или отказ в обслуживании. Google оценила уязвимость в Framework как критическую, но числовой оценки по шкале CVSS (система оценки уязвимостей) в бюллетене нет. Сведений об эксплуатации в реальных атаках Google не приводит. Бюллетень описывает два уровня патча: 2026-11-01 закрывает проблемы в Framework и System, а 2026-11-05 добавляет исправления в ядре и других компонентах.
Уязвимость CVE-2026-58868 в компоненте Framework позволяет удалённо выполнять код: атака идёт по сети, дополнительные права не нужны, участие пользователя не требуется. Причина - переполнение буфера в куче, то есть запись данных за границы выделенного блока памяти, при обработке сетевого кадра. В том же компоненте Google закрыла ещё несколько проблем, включая повышение привилегий и раскрытие информации. Отдельно в компоненте System Google закрыла уязвимость критического уровня CVE-2026-58876 с теми же условиями атаки. В компоненте System также закрыты уязвимости отказа в обслуживании и повышения привилегий, которые требуют локального доступа.
В компонентах ядра закрыты критические уязвимости повышения привилегий в Bluetooth, pKVM (защищённая виртуальная машина на основе KVM) и HID (устройства взаимодействия с пользователем). Также проблемы есть в подсистемах управления памятью и сетевых драйверах. Они позволяют удалённо повышать привилегии без дополнительных прав и без участия пользователя, хотя для части проблем нужен локальный доступ. Для некоторых из них исправление содержится в обновлении ядра Linux, которое распространяется через производителей устройств.
Отдельные разделы бюллетеня посвящены компонентам Arm, Imagination Technologies, MediaTek, Unisoc и Qualcomm. В компонентах MediaTek закрыты уязвимости модема, которые позволяют удалённо повышать привилегии при подключении к поддельной базовой станции (оборудованию, которое выдает себя за легитимную сотовую вышку). В компонентах Qualcomm закрыты проблемы в графической подсистеме и загрузчике, а в компонентах Arm - уязвимости в графическом драйвере Mali, которые позволяют локально повышать привилегии. В компонентах Imagination Technologies закрыты уязвимости графического драйвера, включая переполнение буфера и использование памяти после освобождения. Для некоторых уязвимостей Google указывает, что исправление не опубликовано и содержится в драйверах для устройств Pixel.
Обходных мер Google не предлагает. Исправления доступны в уровнях патча 2026-11-01 и 2026-11-05 для Android 14, 15, 16, 16-qpr2 и 17. Производители устройств распространяют эти исправления; без установки устройство остаётся уязвимым. Проверить уровень патча можно в настройках системы. Если уровень ниже 2026-11-05, часть исправлений может отсутствовать.
Бюллетень охватывает не только саму ОС, но и компоненты ядра, а также драйверы Arm, MediaTek, Qualcomm, Unisoc и Imagination Technologies. Поэтому исправления затрагивают разные уровни устройств Android - от системных компонентов до прошивок. Устройства, которые не получили уровень 2026-11-05, остаются уязвимыми к части проблем, описанных в бюллетене. Бюллетень опубликован 2 ноября 2026 года.
Ссылки
