INCIBE-CERT meldde op 3 november 2026 in alert INCIBE-2026-823 dat Googles Android-beveiligingsbulletin voor november 216 CVE’s bevat: 23 kritieke en 193 met een hoge ernstgraad. Volgens de waarschuwing van INCIBE-CERT dekt beveiligingspatchniveau 2026-11-05 of later alle vermelde problemen.
Het novemberbulletin volgt op de oktoberwaarschuwing van INCIBE-CERT over 25 Android-kwetsbaarheden.
Welke Android-versies en onderdelen vallen onder het bulletin?
De waarschuwing noemt Android 14, 15, 16, 16 QPR2 en 17 voor getroffen AOSP-componenten. Welke versie door een afzonderlijke CVE wordt geraakt, verschilt per kwetsbaarheid. Het bulletin omvat ook problemen in de Linux-kernel en componenten van onder meer MediaTek en Qualcomm.
Welk patchniveau dekt alle problemen?
Patchniveau 2026-11-01 dekt alleen de eerste groep oplossingen. Vanaf 2026-11-05 zijn alle problemen uit het bulletin afgedekt. INCIBE-CERT raadt aan updates van de fabrikant te installeren tot het toestel dat volledige patchniveau heeft.
Kritieke kwetsbaarheden hebben verschillende gevolgen
Drie kritieke Framework-kwetsbaarheden, CVE-2026-58868, CVE-2026-58876 en CVE-2026-58936, zouden uitvoering van code op afstand mogelijk kunnen maken zonder extra rechten of interactie van de gebruiker. INCIBE-CERT beschrijft CVE-2026-58868 als een heapbuffer-overloop in FrameDecoder.cpp; de andere twee zijn use-after-free-fouten.
Acht kritieke CVE’s betreffen MediaTek-modems. De beschreven schrijfbewerkingen buiten de toegestane geheugenruimte kunnen tot rechtenverhoging leiden als een toestel verbinding maakt met een basisstation dat onder controle staat van een aanvaller. De waarschuwing noemt ook twee kritieke Bluetooth-kwetsbaarheden in de Linux-kernel, met mogelijke rechtenverhoging.
Wat de exploitatiestatus en het aantal kritieke CVE’s zeggen
INCIBE-CERT markeerde alle 23 kritieke CVE’s op 3 november als niet misbruikt. De waarschuwing vermeldde dat die status kan veranderen. Dit is dus de stand op de publicatiedatum.
De 23 kritieke CVE’s vormen ongeveer 10,6% van de 216 vermeldingen. Dat percentage beschrijft het aandeel kritieke kwetsbaarheden in het bulletin, niet de kans dat een toestel wordt gecompromitteerd. De beschreven gevolgen en voorwaarden lopen uiteen.
