Publicado pelo Google em 2 de novembro de 2026, o boletim de segurança do Android de novembro lista três vulnerabilidades críticas de execução remota de código, ou RCE: uma no Framework e duas no System. Os resumos dizem que a exploração não exige interação do usuário. O boletim também define dois níveis de patch, com coberturas diferentes. Consulte o boletim oficial do Android.
RCE é uma falha que pode permitir a execução remota de código no dispositivo. O termo descreve o tipo de vulnerabilidade, não confirma que alguém a explorou.
As três RCEs críticas do boletim
O boletim lista CVE-2026-58868 no Framework e CVE-2026-58876 e CVE-2026-58936 no System. Para as três, as tabelas citam Android 14, 15, 16, 16-qpr2 e 17, e os resumos dos componentes dizem que não é necessária interação do usuário para a exploração.
O Google descreve a falha no Framework como a mais grave e informa que ela não exige privilégios adicionais de execução. A avaliação de gravidade considera um cenário em que as mitigações da plataforma e dos serviços estejam desativadas para desenvolvimento ou tenham sido contornadas.
O que cobre cada nível de patch
Os dois níveis atendem a escopos diferentes. O Google diz que a divisão permite aos parceiros Android distribuir mais cedo um subconjunto de correções compartilhadas entre dispositivos.
| Nível de patch | Cobertura |
| 2026-11-01 | Problemas associados a esse nível e correções aplicáveis de boletins anteriores. |
| 2026-11-05 ou posterior | Todos os problemas aplicáveis do boletim de novembro e dos boletins anteriores. |
Na prática, 2026-11-01 cobre um conjunto menor de correções; 2026-11-05 ou posterior é o nível que abrange todos os problemas aplicáveis dos boletins de novembro e anteriores.
Para identificar a cobertura integral, o nível indicado é 2026-11-05 ou posterior.
Um tutorial geral da TechFix Guides, em inglês e publicado em 11 de março de 2026, explica como consultar o nível de patch, procurar atualizações e conferir a data depois de reiniciar. Ele antecede o boletim de novembro.
A publicação do boletim e a atualização no celular são datas diferentes
O Google publicou o boletim em 2 de novembro de 2026. Essa é a data do documento; a distribuição das correções aos aparelhos cabe aos parceiros Android. O Google informa que eles recebem aviso sobre os problemas pelo menos um mês antes da publicação e recomenda que incluam todas as correções aplicáveis e adotem o nível de patch mais recente.
