Google ha pubblicato il 2 novembre 2026 il bollettino di sicurezza Android di novembre: elenca tre vulnerabilità critiche di esecuzione di codice da remoto (RCE), cioè falle che possono consentire l’esecuzione di codice su un dispositivo. I riepiloghi di Framework e System specificano che non serve l’interazione dell’utente. Il bollettino definisce anche due livelli di patch, con coperture diverse (bollettino ufficiale di sicurezza Android).
Le tre RCE critiche elencate da Google
Google associa una vulnerabilità a Framework e due a System. Per tutte e tre, il bollettino elenca Android 14, 15, 16, 16-qpr2 e 17.
| CVE | Componente | Gravità e condizione indicata | Versioni Android elencate |
| CVE-2026-58868 | Framework | Critica; non serve interazione dell’utente né un ulteriore privilegio di esecuzione | Android 14, 15, 16, 16-qpr2 e 17 |
| CVE-2026-58876 | System | Critica; non serve interazione dell’utente | Android 14, 15, 16, 16-qpr2 e 17 |
| CVE-2026-58936 | System | Critica; non serve interazione dell’utente | Android 14, 15, 16, 16-qpr2 e 17 |
La valutazione della gravità di Google presuppone che le mitigazioni della piattaforma e dei servizi siano disattivate per lo sviluppo oppure aggirate con successo. CVE-2026-58876 compare anche nella sezione Project Mainline del bollettino, alla voce Media Codecs.
Che cosa coprono i due livelli di patch
I due livelli indicano insiemi diversi di correzioni: 2026-11-05 o successivo copre tutti i problemi applicabili del bollettino di novembre e dei bollettini precedenti.
| Livello di patch | Copertura indicata da Google |
| 2026-11-01 | I problemi assegnati a questo livello |
| 2026-11-05 o successivo | Tutti i problemi applicabili del bollettino di novembre e dei bollettini precedenti |
Google spiega che i due livelli danno ai partner Android la flessibilità di distribuire prima un sottoinsieme delle correzioni condivise tra dispositivi. Di conseguenza, vedere 2026-11-01 come livello di patch non equivale alla copertura completa indicata per 2026-11-05 o successivo.
Per interpretare il livello installato, confronta la data indicata sul dispositivo con la copertura associata a quel livello.
Il tutorial di TechFix Guides spiega in inglese come controllare il livello della patch e gestire gli aggiornamenti; è stato pubblicato l’11 marzo 2026, prima del bollettino di novembre.
La pubblicazione del bollettino e l’aggiornamento sul telefono
Il 2 novembre è la data di pubblicazione del bollettino. Google comunica ai partner Android le vulnerabilità almeno un mese prima della pubblicazione; i partner scelgono come distribuire le correzioni applicabili ai propri dispositivi. La data del bollettino, quindi, non è una data di consegna valida per ogni telefono.
