Google'ın Kasım güvenlik bültenine göre kritik bir Android açığı, saldırganın kullanıcıdan herhangi bir eylem olmadan uzaktan telefonda kod çalıştırmasına izin verebilir.
Açık CVE-2026-58868 olarak kayıtlı ve Android 14'ten 17'ye kadar olan sürümleri etkiliyor. Düzeltme, güvenlik yaması düzeyi 2026-11-01 veya sonrası ile geliyor; bu yamaları telefon üreticileri ve operatörler kendi takvimlerine göre gönderiyor.
4 Kasım itibarıyla Google'ın bülteni açıklarını kullanan bir saldırı bildirmedi. Açıklamaların hiçbiri, ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı'nın tuttuğu Bilinen Sömürülen Açıklar kataloğunda yer almıyordu; bu durum 3 Kasım güncellemesi itibarıyla geçerli.
Açık, FrameDecoder.cpp dosyasındaki onOutputReceived fonksiyonunda oluşan yığın arabellek taşması nedeniyle olası bir sınır dışı yazma. Bülten de CVE kaydı da saldırganın bu koda nasıl ulaşacağı konusunda bilgi vermiyor.
Google'ın Kritik derecelendirmesi, Android'e ve Google hizmetlerine yerleşik korumaların kapalı olduğu ya da atlatıldığı varsayımına dayanıyor.
Android 12 ve 13 gibi daha eski sürümler açık tarafından etkilenenler listesinde yer almıyor. Google'ın kayıtları bunların içerip içermediğini söylemiyor.
Telefonunuzu Nasıl Kontrol Edersiniz
Google'ın yardım sayfası şu adımları veriyor:
Ayarlar uygulamasını açın.
Telefon Hakkında ya da Tablet Hakkında'ya dokunun, ardından Android sürümü'ne girin.
Android güvenlik güncellemesi ve Google Play sistem güncellemesi tarihlerini bulun.
Android güvenlik güncelleme tarihi telefonun güvenlik yaması düzeyi. 2026-11-01 veya sonrası tarih, CVE-2026-58868'i ve Framework, Sistem ile Android çalışma zamanı bileşenlerindeki diğer açıkları kapsıyor.
2026-11-05 veya sonrası tarih, Arm, Imagination Technologies, MediaTek, Unisoc ve Qualcomm'dan gelen parçalar dahil olmak üzere Kasım bültenindeki her açığı kapsıyor.
Google iki tarih belirliyor; böylece telefon üreticileri tüm Android cihazlarda ortak olan düzeltme paketini daha erken gönderebiliyor. Bültendeki her düzeltmeyi dahil etmelerini teşvik ediyor.
Android 10 ve sonrası çalışan telefonlar bazı düzeltmeleri Google Play sistem güncellemeleri yoluyla da alabiliyor. Bu ayki listede bir başka Kritik açık olan CVE-2026-58876 da yer alıyor.
CVE-2026-58868 bu listede değil, bu yüzden kontrol edilecek tarih Android güvenlik güncellemesi.
Bülten, henüz güncelleme yükleyemeyen telefonlar için geçici çözüm sunmuyor.
Android'in Metin Mesajı Kodunda Uzaktan Hizmet Reddi Açığı
CVE kaydına göre bir başka Kritik açık olan CVE-2026-58882, kullanıcı etkileşimi olmadan uzaktan hizmet reddi saldırısına izin verebilir. Açık, SMS yoluyla gelen WAP Push mesajları için Android kodundaki decodeWapPdu fonksiyonunda bulunuyor.
29 Ekim'de Mark B takma adıyla yayın yapan bir araştırmacı, aynı fonksiyondaki bir hata hakkında "SMS of Death" başlıklı bir yazı paylaştı. Bülten de CVE kaydı da CVE-2026-58882'nin bu hata olup olmadığını belirtmiyor.
Yazıya göre tek bir biçim bozuk WAP Push mesajı com.android.phone uygulamasını çökertiyor ve acil aramalar dahil aktif her aramayı sonlandırıyor. Birkaç telefon modelinde yapılan testlerde çökme her seferinde gerçekleşti.
Saldırganın yalnızca hedefin telefon numarasına ihtiyacı var ve mesaj gelen kutusunda görünmüyor. Telefon her başlatıldığında mesajı yeniden deniyor, bu yüzden mesaj kaldırılana kadar başlatma sırasında çökme devam edebiliyor.
Bu tür bir mesajı bir telefondan diğerine gönderen bir kanıt uygulaması herkese açık. Araştırmacıya göre Android 12 ve 13 aynı kodu çalıştırıyor ancak daha yeni sürümlerin aldığı düzeltmeyi almıyor.
Diğer Kritik Açıklar
Google'ın Kasım bülteni 216 açık listeliyor, bunların 23'ü Kritik olarak derecelendirilmiş. Uzaktan kod çalıştırmaya izin verebilecek iki başka Kritik açık daha var: Android'in Sistem bileşenindeki CVE-2026-58876 ve CVE-2026-58936.
Altı Kritik açık çekirdekte bulunuyor, ikisi Bluetooth kodunda. En ciddi çekirdek açığı, uzaktan bir saldırganın kullanıcı etkileşimi olmadan yetki yükseltmesine izin verebilir.
2026-11-05 yaması düzeyi MediaTek modem kodu ve kapalı kaynaklı bir Qualcomm bileşenindeki Kritik açıkları da düzeltiyor. Kasım bülteninde MediaTek, Kritik modem açıklarını sınır dışı yazma olarak tanımlıyor ve aktif bir sömürü farkında olmadığını belirtiyor.
