Google 2 ноября выпустила ноябрьский бюллетень безопасности Android. Самая опасная из исправленных уязвимостей позволяет удалённо запустить код без нажатия на ссылку, открытия сообщения или другого действия владельца смартфона.
Уязвимость получила номер CVE-2026-58868 и находится во Framework — одном из основных компонентов Android. Для атаки не требуются дополнительные права. Исправления предназначены для Android 14, 15, 16, 16 QPR2 и 17.
Оценка критичности не означает, что любой смартфон можно гарантированно взломать одним сообщением. Google рассчитывает возможный ущерб при условии, что встроенные защитные механизмы отключены или атакующему удалось их обойти. Публичных сообщений о применении CVE-2026-58868 в реальных атаках на момент публикации нет.
Читайте также
Исправление уязвимости входит в уровень патчей безопасности от 1 ноября 2026 года. Полный ноябрьский набор имеет дату 5 ноября: он закрывает все 216 перечисленных в бюллетене уязвимостей, включая 23 критические, и добавляет исправления для ядра Android и компонентов производителей чипов.
Дата бюллетеня Google не совпадает с датой фактического обновления каждого смартфона. Компания уведомила партнёров об уязвимостях как минимум за месяц, но производители устройств и операторы готовят и распространяют прошивки по собственным графикам. Поэтому ноябрьского патча может пока не быть даже на поддерживаемом устройстве.
Проверить установленный уровень защиты можно в настройках Android, в разделе системных обновлений или безопасности. Названия пунктов зависят от производителя. Для защиты от CVE-2026-58868 нужна дата обновления безопасности Android не раньше 1 ноября 2026 года, а для получения всего набора исправлений — не раньше 5 ноября 2026 года.