A INCIBE-CERT publicou em 3 de novembro de 2026 o alerta INCIBE-2026-823, que resume o boletim de segurança do Android daquele mês: 216 CVEs, sendo 23 críticos e 193 de alta gravidade. Para cobrir todos os problemas listados, o nível de patch indicado é 2026-11-05 ou posterior; 2026-11-01 contempla apenas o primeiro grupo de correções. (INCIBE-CERT)
Qual nível de patch cobre o boletim inteiro?
Segundo a INCIBE-CERT, o nível 2026-11-05 ou posterior cobre todas as falhas do boletim. O nível 2026-11-01 cobre somente o primeiro grupo de correções. A orientação é instalar a atualização fornecida pelo fabricante do aparelho até que ele alcance o nível indicado para a cobertura integral.
Este alerta vem depois do boletim de outubro, tratado pela NeoTeo na cobertura do aviso anterior.
As falhas críticas têm impactos diferentes
Os 216 CVEs são registros de vulnerabilidades classificados em dois níveis de gravidade: 23 críticos e 193 altos. O alerta cita Android 14, 15, 16, 16 QPR2 e 17 para componentes AOSP, mas a versão afetada varia conforme cada CVE. Também entram no boletim componentes do kernel Linux e de fornecedores como MediaTek e Qualcomm.
Entre as falhas críticas, a INCIBE-CERT aponta três vulnerabilidades do Framework — CVE-2026-58868, CVE-2026-58876 e CVE-2026-58936 — que poderiam permitir execução remota de código sem privilégios adicionais nem interação do usuário.
Outros casos têm condições distintas. O alerta relaciona oito CVEs críticos a modems MediaTek e descreve um cenário de elevação de privilégios que depende de o aparelho se conectar a uma estação-base controlada por um invasor. A contagem de falhas críticas, portanto, reúne problemas com impactos e pré-requisitos diferentes.
O que significa o status de exploração
Na publicação do alerta, em 3 de novembro de 2026, a INCIBE-CERT marcou os 23 CVEs críticos como não explorados e observou que esse status pode mudar. Essa informação descreve a situação registrada naquela data.
Os 23 CVEs críticos representam cerca de 10,6% dos 216 listados, mas essa proporção não indica a probabilidade de um aparelho ser comprometido. É uma parte do total de registros; os riscos dependem do impacto e das condições de cada vulnerabilidade.
