Google vermeldt CVE-2026-58868 als een kritieke kwetsbaarheid in het Android Framework voor Android 14, 15, 16, 16 QPR2 en 17. De fout kan volgens Googles Android-beveiligingsbulletin van november 2026 uitvoering van code op afstand mogelijk maken zonder gebruikersinteractie of extra uitvoeringsrechten. De datum 2026-11-01 is het patchlevel waaronder Google de kwetsbaarheid vermeldt; het bulletin verscheen op 2 november 2026.
Welke Android-versies noemt Google?
Google noemt Android 14, 15, 16, 16 QPR2 en 17. De kwetsbaarheid zit in het Android Framework en is geclassificeerd als een kritieke kwetsbaarheid voor uitvoering van code op afstand, vaak afgekort tot RCE. Dat betekent dat code op afstand kan worden uitgevoerd; volgens Google is daarvoor geen handeling van de gebruiker en geen extra uitvoeringsrecht nodig.
Wat betekenen de patchdatums?
Google vermeldt CVE-2026-58868 bij patchlevel 2026-11-01. Beveiligingspatchlevels van 2026-11-05 of later verhelpen volgens het bulletin alle daarin opgenomen problemen. De publicatiedatum van het bulletin was 2 november 2026.
Zo controleer je de patchdatum op je Android-apparaat
Open Instellingen > Over de telefoon of Over de tablet > Android-versie en zoek de datum van de beveiligingspatch. De precieze menunamen kunnen per apparaat verschillen. Een patchlevel van 2026-11-05 of later verhelpt volgens Google alle problemen uit het novemberbulletin, waaronder deze kwetsbaarheid.
Wat zegt de openbare PoC-analyse?
Mallory beschrijft de onderzochte openbare proof of concept (PoC) als een voorbeeld van geheugenbeschadiging, niet als een werkende RCE-payload. Die analyse toont dus geen werkende aanval aan.
