Google novembra atjauninājumā labo kritisku Android kļūdu, ko var izmantot bez lietotāja darbībām

Google novembra Android drošības biļetenā publiskojis labojumus vairākām kritiskām ievainojamībām. Bīstamākā no tām, CVE-2026-58868, varētu ļaut uzbrucējam attālināti izpildīt kodu tālrunī, turklāt lietotājam nekas nav jāatver vai jāapstiprina. Kļūda skar visas atbalstītās Android versijas no 14. līdz 17.

Problēma atrasta Android sistēmas pamatkomponentē (Framework), kodā, kas apstrādā multivides datus un veido, piemēram, video un foto priekšskatījuma attēlus. Biļetenā aprakstīta iespējama rakstīšana ārpus atmiņas robežām, ko izraisa bufera pārpilde. Ne Google, ne ievainojamības ierakstā nav paskaidrots, kā tieši uzbrucējs varētu šo kodu sasniegt.

Pēc drošības jaunumu vietņu The Hacker News un Cybernews ziņām, līdz 4. novembrim Google nebija ziņojis par uzbrukumiem, kuros šī kļūda būtu izmantota. Biļetenā nav norādīts, vai ievainojamas ir arī vecākās Android versijas, kuras vairs nesaņem drošības atjauninājumus.

Kopumā novembra atjauninājums novērš 23 kritiskas ievainojamības. Starp tām ir vēl divas kritiskas kļūdas sistēmas komponentē, kas arī var ļaut attālināti izpildīt kodu, kā arī seši kritiski trūkumi Linux kodolā, daļa no tiem saistīta ar Bluetooth. Labojumi iekļauti arī MediaTek modemu programmatūrai un vienai slēgtā koda Qualcomm komponentei.

Biļetenā oficiāli iekļauta arī kļūda, kas iepriekš kļuva pazīstama kā «SMS of Death». Neatkarīga pētnieka aprakstā teikts, ka ar vienu īpaši sagatavotu WAP Push īsziņu iespējams nogāzt tālruņa sakaru pakalpojumu un pārtraukt aktīvās sarunas, arī zvanus uz ārkārtas dienestiem. Google šo ievainojamību novērtējis kā kritisku.

Labojumi tiek piegādāti divos līmeņos. Ierīces ar drošības ielāpu līmeni 2026-11-01 vai jaunāku ir aizsargātas pret Framework un sistēmas kļūdām, tostarp CVE-2026-58868, bet līmenis 2026-11-05 aptver visas biļetenā minētās problēmas, arī kodola un mikroshēmu ražotāju komponentes.

Tālruņu ražotāji un mobilo sakaru operatori atjauninājumus izsūta katrs pēc sava grafika, tāpēc daļa lietotāju tos saņems ar novēlošanos. Lietotājiem ieteikts tālruņa iestatījumos pārbaudīt Android drošības atjauninājuma datumu un uzstādīt jaunāko pieejamo atjauninājumu, kā arī pārbaudīt Google Play sistēmas atjauninājumus.