Google lansează patch-uri pentru o vulnerabilitate critică a sistemului Android

O vulnerabilitate critică a sistemului Android ar putea permite unui atacator să execute cod pe un smartphone fără acțiune din partea utilizatorului, de la distanță, a informat Google în buletinul său de securitate din noiembrie.

Vulnerabilitatea, CVE-2026-58868, afectează versiunile Android de la 14 la 17. Smartphone-urile primesc remedierea odată cu nivelul de patch de securitate 2026-11-01 sau unul ulterior, pe care producătorii de telefoane și operatorii de telefonie mobilă îl distribuie conform propriilor programe.

Vulnerabilitatea constă într-o posibilă scriere în afara limitelor de memorie, cauzată de o depășire a capacității bufferului din heap în funcția onOutputReceived din fișierul FrameDecoder.cpp. Nici buletinul de securitate, nici înregistrarea CVE a vulnerabilității nu precizează modul în care un atacator ar putea ajunge la acel cod.

Clasificarea critică atribuită de Google presupune că măsurile de protecție integrate în Android și în serviciile Google sunt dezactivate sau ocolite.

Versiunile mai vechi, precum Android 12 și 13, nu sunt menționate ca fiind afectate de această vulnerabilitate. Documentația Google nu precizează dacă acestea conțin vulnerabilitatea respectivă.

Data actualizării de securitate Android reprezintă nivelul patch-ului de securitate al telefonului. O dată de 01.11.2026 sau ulterioară acoperă vulnerabilitatea CVE-2026-58868 și celelalte vulnerabilități din componentele Framework, System și Android Runtime.

O dată de 05.11.2026 sau ulterioară acoperă toate vulnerabilitățile din buletinul din noiembrie, inclusiv cele din kernel și din componentele furnizate de Arm, Imagination Technologies, MediaTek, Unisoc și Qualcomm.

Google stabilește două date pentru ca producătorii de telefoane să poată lansa mai repede un set de remedieri comune pentru toate dispozitivele Android. Aceasta îi încurajează să includă toate remedierile din buletin.

Telefoanele care rulează Android 10 sau o versiune ulterioară pot primi, de asemenea, unele remedieri prin intermediul actualizărilor de sistem de pe Google Play. Lista din această lună pentru aceste actualizări include o altă vulnerabilitate critică, CVE-2026-58876.

CVE-2026-58868 nu figurează pe lista respectivă, așa că data la care trebuie verificată este cea a actualizării de securitate Android.

Buletinul nu oferă nicio soluție provizorie pentru telefoanele care nu pot instala încă actualizarea.

O altă vulnerabilitate critică, CVE-2026-58882, ar putea permite un atac de tip denial-of-service de la distanță, fără nicio interacțiune din partea utilizatorului. Aceasta se află în funcția decodeWapPdu, o funcție din codul Android destinată mesajelor WAP Push care sosesc prin SMS.

Conform unui articol, un singur mesaj WAP Push format incorect blochează aplicația com.android.phone și întrerupe orice apel activ, inclusiv apelurile de urgență. În cadrul testelor efectuate pe mai multe modele de telefoane, blocarea s-a produs de fiecare dată.

Atacatorul are nevoie doar de numărul de telefon al respectivei persoane, iar mesajul nu apare niciodată în căsuța de primire. Telefonul încearcă să trimită mesajul de fiecare dată când pornește, astfel încât se poate bloca la pornire până când mesajul este șters.

Telefoanele care rulează Android 12 și 13 execută același cod, dar nu beneficiază de remedierea pe care o oferă versiunile mai noi, afirmă specialiștii.

Buletinul Google din noiembrie enumeră 216 vulnerabilități, dintre care 23 sunt clasificate ca fiind critice. Alte două vulnerabilități critice ar putea permite executarea de cod de la distanță: CVE-2026-58876 și CVE-2026-58936, ambele aflate în componenta System a sistemului Android.

Șase vulnerabilități critice se află în kernel, două dintre ele în codul Bluetooth. Cea mai severă vulnerabilitate din kernel ar putea permite unui atacator la distanță să obțină privilegii ridicate fără interacțiunea utilizatorului.

Nivelul de patch-uri 2026-11-05 remediază, de asemenea, vulnerabilități critice din codul modemului MediaTek și dintr-o componentă Qualcomm cu sursă închisă. În buletinul său din noiembrie, MediaTek descrie vulnerabilitățile critice ale modemului ca fiind operațiuni de scriere în afara limitelor și afirmă că nu are cunoștință de nicio exploatare activă.

Sursă: https://thehackernews.com/2026/11/google-patches-critical-android-flaw.html