Kritická chyba v Androide môže útočníkovi umožniť vzdialene spustiť kód na telefóne bez akejkoľvek akcie používateľa, uviedol Google vo svojom novembrovom bezpečnostnom bulletine.
Čo sa vie o zraniteľnosti CVE-2026-58868
Zraniteľnosť CVE-2026-58868 sa týka Androidu 14 až 17. Telefóny dostanú opravu s úrovňou bezpečnostných záplat 2026-11-01 alebo novšou, pričom výrobcovia telefónov a mobilní operátori ju distribuujú podľa vlastného harmonogramu.
Google k 4. novembru v bulletine neuvádza žiadne útoky, ktoré by zneužívali zraniteľnosti v ňom uvedené. Podľa aktualizácie z 3. novembra sa žiadna z nich nenachádza ani v katalógu Known Exploited Vulnerabilities (KEV), ktorý vedie americká Cybersecurity and Infrastructure Security Agency (CISA).
Ide o možný zápis mimo hraníc pamäte (out-of-bounds write) spôsobený pretečením haldy (heap buffer overflow) vo funkcii onOutputReceived v súbore FrameDecoder.cpp. Bulletin ani záznam CVE neuvádzajú, ako by sa útočník k tomuto kódu dostal.
Hodnotenie Critical od Googlu vychádza z predpokladu, že ochranné mechanizmy zabudované v Androide a v službách Googlu sú vypnuté alebo obídené.
Staršie verzie, napríklad Android 12 a 13, nie sú v súvislosti s touto chybou uvedené ako postihnuté. Záznamy Googlu však neuvádzajú, či ju neobsahujú.
Ako skontrolovať svoj telefón
Podľa pomocníka Googlu postupujte takto:
- Otvorte aplikáciu Nastavenia.
- Ťuknite na Informácie o telefóne (alebo Informácie o tablete) a potom na Verzia Androidu.
- Nájdite dátumy bezpečnostnej aktualizácie Androidu a systémovej aktualizácie Google Play.
Dátum bezpečnostnej aktualizácie Androidu zodpovedá úrovni bezpečnostných záplat telefónu. Dátum 2026-11-01 alebo novší pokrýva CVE-2026-58868 aj ďalšie chyby v komponentoch Framework, System a Android runtime.
Dátum 2026-11-05 alebo novší pokrýva všetky chyby z novembrového bulletinu vrátane tých v jadre (kernel) a v komponentoch od firiem Arm, Imagination Technologies, MediaTek, Unisoc a Qualcomm.
Google používa dva dátumy preto, aby mohli výrobcovia telefónov rýchlejšie vydať sadu opráv spoločných pre všetky zariadenia s Androidom. Zároveň ich vyzýva, aby do aktualizácií zahrnuli všetky opravy z bulletinu.
Niektoré opravy môžu telefóny s Androidom 10 alebo novším dostať aj prostredníctvom systémových aktualizácií Google Play. Zoznam pre tento mesiac obsahuje ďalšiu kritickú chybu, CVE-2026-58876. Chyba CVE-2026-58868 v tomto zozname nie je, takže pri nej treba kontrolovať dátum bezpečnostnej aktualizácie Androidu.
Bulletin neuvádza žiadne dočasné riešenie (workaround) pre telefóny, na ktoré sa aktualizácia zatiaľ nedá nainštalovať.
Vzdialená DoS chyba v kóde Androidu na spracovanie textových správ
Ďalšia kritická chyba, CVE-2026-58882, môže podľa jej záznamu CVE umožniť vzdialený útok typu denial-of-service (DoS) bez zásahu používateľa. Nachádza sa vo funkcii decodeWapPdu v kóde Androidu pre správy WAP Push, ktoré prichádzajú cez SMS.
Výskumník publikujúci pod menom Mark B zverejnil 29. októbra analýzu s názvom „SMS of Death“ o chybe v tej istej funkcii. Bulletin ani záznam CVE neuvádzajú, či ide o rovnakú chybu ako CVE-2026-58882.
Podľa analýzy stačí jedna poškodená správa WAP Push na to, aby spadol proces com.android.phone a ukončil sa každý prebiehajúci hovor vrátane tiesňových. Pri testoch na viacerých modeloch telefónov k pádu došlo vždy.
Útočník potrebuje iba telefónne číslo obete a správa sa v schránke vôbec nezobrazí. Telefón sa ju pokúša spracovať znova pri každom spustení, takže môže padať už pri štarte, kým sa správa neodstráni.
Verejne je dostupná aj proof-of-concept aplikácia, ktorá takúto správu odošle z jedného telefónu na druhý. Telefóny s Androidom 12 a 13 podľa výskumníka používajú rovnaký kód, ale opravu, akú dostali novšie verzie, nedostávajú.
Ďalšie kritické chyby
Novembrový bulletin Googlu obsahuje 216 zraniteľností, z ktorých 23 je hodnotených ako Critical. Dve ďalšie kritické chyby môžu umožniť vzdialené spustenie kódu: CVE-2026-58876 a CVE-2026-58936, obe v komponente System Androidu.
Šesť kritických chýb sa nachádza v jadre, dve z nich v kóde Bluetooth. Najzávažnejšia z chýb v jadre môže vzdialenému útočníkovi umožniť získať zvýšené oprávnenia bez zásahu používateľa.
Úroveň záplat 2026-11-05 opravuje aj kritické chyby v kóde modemov MediaTek a v uzavretom komponente od Qualcommu. MediaTek vo svojom novembrovom bulletine popisuje svoje kritické chyby v modemoch ako zápisy mimo hraníc pamäte a uvádza, že nie je si vedomý žiadneho aktívneho zneužívania.