Listopadowy biuletyn bezpieczeństwa Androida obejmuje 216 podatności CVE: 23 krytyczne i 193 o wysokim poziomie zagrożenia. Według alertu INCIBE-CERT z 3 listopada 2026 r. poziom poprawek 2026-11-05 lub nowszy rozwiązuje wszystkie wymienione problemy; 2026-11-01 obejmuje tylko pierwszą grupę (ostrzeżenie INCIBE-CERT).

To kolejny miesięczny komunikat po październikowym alercie dotyczącym 25 luk w Androidzie, opisanym w poprzednim artykule NeoTeo.

Co obejmuje listopadowy biuletyn

Alert wymienia komponenty AOSP związane z Androidem 14, 15, 16, 16 QPR2 i 17. To, których wersji dotyczy konkretna podatność, zależy od CVE. Biuletyn obejmuje również jądro Linux oraz komponenty dostawców, w tym MediaTek i Qualcomm.

CVE to identyfikator przypisany podatności w biuletynie. Sama klasyfikacja jako krytycznej nie oznacza, że każda luka ma taki sam skutek ani wymaga tych samych warunków ataku.

Poziom 2026-11-05 lub nowszy obejmuje wszystkie wymienione problemy

INCIBE-CERT podaje, że poziom poprawek 2026-11-01 obejmuje tylko pierwszą grupę poprawek, a 2026-11-05 lub nowszy rozwiązuje wszystkie problemy ujęte w listopadowym biuletynie. Zalecenie alertu to instalowanie aktualizacji producenta, aż urządzenie osiągnie pełny wskazany poziom.

Krytyczne CVE mają różne skutki i warunki

Trzy krytyczne podatności Framework, CVE-2026-58868, CVE-2026-58876 i CVE-2026-58936, mogą umożliwić zdalne wykonanie kodu bez dodatkowych uprawnień ani interakcji użytkownika. To konkretny scenariusz opisany dla tych trzech błędów, a nie wspólny skutek wszystkich krytycznych CVE.

W przypadku ośmiu krytycznych CVE dotyczących modemów MediaTek alert opisuje możliwość eskalacji uprawnień, jeśli urządzenie połączy się ze stacją bazową kontrolowaną przez atakującego. Warunek ten różni się od scenariusza zdalnego wykonania kodu opisanego dla błędów Framework.

Status wykorzystania dotyczył dnia publikacji

W chwili publikacji alertu 3 listopada INCIBE-CERT oznaczał wszystkie 23 krytyczne CVE jako niewykorzystywane. Instytut zaznaczył, że status może się zmienić.

Liczba 23 stanowi około 10,6% z 216 podatności wymienionych w biuletynie. To udział krytycznych wpisów w zestawieniu, a nie prawdopodobieństwo przejęcia telefonu.