O boletim de segurança do Android de novembro de 2026 classifica a CVE-2026-58868 como uma vulnerabilidade crítica de execução remota de código (RCE) no Android Framework. O Google lista Android 14, 15, 16, 16 QPR2 e 17; a falha não exige interação do usuário nem privilégios adicionais de execução, segundo o boletim oficial.
Quais versões do Android o Google lista para a CVE-2026-58868?
A lista do Google inclui Android 14, 15, 16, 16 QPR2 e 17. RCE é a sigla em inglês para execução remota de código: a categoria descreve a possibilidade de executar código à distância. Para essa falha, o boletim diz que não é necessário que a pessoa toque ou confirme algo no aparelho, nem que o atacante tenha privilégios adicionais de execução.
O que significam as datas do boletim e do patch?
O Google publicou o boletim em 2 de novembro de 2026. A CVE aparece nos detalhes do nível de patch de segurança 2026-11-01; essa data identifica o nível do patch, não a publicação do boletim. O Google afirma que níveis 2026-11-05 ou posteriores corrigem todos os problemas listados no boletim de novembro.
Como conferir a data do patch de segurança no Android?
No aparelho, abra Configurações → Sobre o telefone ou Sobre o tablet → Versão do Android e procure a data do patch de segurança. A Lifehacker descreve esse caminho para verificar o nível instalado; os nomes dos menus podem variar conforme o dispositivo. O boletim do Google registra os níveis associados à correção, enquanto a tela do aparelho informa a data instalada nele. A distribuição de atualizações depende do fabricante e da operadora, segundo a cobertura da Lifehacker.
O que a análise da PoC permite concluir?
A Mallory descreveu o repositório público que analisou como uma prova de conceito de corrupção de memória, sem um payload funcional de execução remota de código. Esse resultado se refere à PoC examinada: ele não equivale a uma demonstração de um ataque RCE funcional.
