Бюллетень безопасности Android за ноябрь 2026: более 200 уязвимостей и RCE без участия пользователя

2 ноября 2026 года Google опубликовал ноябрьский бюллетень безопасности Android: в двух уровнях патча — 2026-11-01 и 2026-11-05 — закрыто более 200 уязвимостей. Самая опасная, CVE-2026-58868 во Framework, позволяет удалённо выполнить код без дополнительных привилегий и без участия пользователя. Затронуты Android 14, 15, 16 и 17 — обновление стоит ставить сразу, как только его выпустит производитель устройства.

Для команд, которые ведут разработку приложений под Android, это не только вопрос пользователей и их телефонов. Уязвимость в системном слое означает, что даже аккуратно написанное приложение работает поверх платформы, которую можно скомпрометировать, — и это стоит учитывать в модели угроз, политике минимальных версий и регрессе.

Ниже — что именно закрыл Google, почему CVE-2026-58868 выделяют отдельно и какие шаги разумно сделать сейчас, если ваша компания занимается разработкой мобильных приложений для бизнеса, финтеха или корпоративного парка устройств.

Что вошло в ноябрьский бюллетень

Бюллетень по традиции разделён на два уровня. Уровень 2026-11-01 закрывает проблемы в компонентах самой платформы — Framework и System, плюс одну уязвимость раскрытия информации высокой степени в Android Runtime. Уровень 2026-11-05 включает всё из первого и добавляет исправления в ядре и компонентах поставщиков: Arm, Imagination Technologies, MediaTek, Unisoc и Qualcomm, включая подсистемы Bluetooth, pKVM, HID и модем MediaTek. По подсчёту SecurityWeek, на два уровня приходится более 200 CVE.

Кроме CVE-2026-58868, в разделе System указаны шесть критических проблем: удалённое выполнение кода (CVE-2026-58876, CVE-2026-58936), повышение привилегий (CVE-2026-55275, CVE-2026-55283, CVE-2026-58984) и отказ в обслуживании (CVE-2026-58814). Исходный код исправлений Google обещает выложить в AOSP в течение 48 часов после публикации бюллетеня. Отдельные бюллетени вышли для Wear OS и Android XR.

Почему CVE-2026-58868 — главный пункт месяца

Сочетание трёх признаков делает эту уязвимость приоритетом: удалённый вектор, отсутствие требований к привилегиям и отсутствие действий со стороны пользователя. На практике это значит, что жертве не нужно ничего открывать или устанавливать, а атакующему не нужен предварительный доступ к устройству. Google оценивает её как критическую — высшую степень в своей шкале.

Сведений об эксплуатации в реальных атаках на момент публикации Google не приводит. Но технические детали становятся доступны вместе с патчами в AOSP, и окно между публикацией исправления и появлением рабочих эксплойтов для таких проблем обычно короткое. Поэтому ставить обновление «когда-нибудь» — плохая стратегия, особенно для корпоративных устройств с доступом к рабочим данным.

Что это значит для команд мобильной разработки

Сам бюллетень закрывает дыры в ОС, а не в вашем коде, но последствия для продукта прямые:

• Модель угроз. Финтех, медицина и корпоративные приложения не должны полагаться на то, что система «чистая». Хранение токенов в Android Keystore, проверка целостности через Play Integrity API и серверная валидация критичных операций остаются обязательными.
• Политика уровня патча. Для приложений с повышенными требованиями к безопасности можно читать уровень патча устройства (Build.VERSION.SECURITY_PATCH) и мягко предупреждать пользователя или ограничивать чувствительные функции на сильно устаревших прошивках.
• Регресс на пропатченных сборках. Исправления во Framework и System иногда меняют поведение системных компонентов. Прогоните ключевые сценарии на устройствах и эмуляторах с уровнем 2026-11-05, как только образы станут доступны.
• Фрагментация. Pixel получают обновление первыми, остальные производители — в своём темпе. Матрица поддерживаемых устройств должна учитывать, что значимая часть аудитории ещё недели будет без патча.

Напомним, что в сентябре Google закрывал около 180 уязвимостей, и разбор того выпуска есть в нашей новости о сентябрьском бюллетене Android. Ежемесячный ритм таких исправлений — аргумент встроить проверку бюллетеня в регламент поддержки продукта, а не реагировать разово.

Как действовать пользователям и администраторам

1. Проверьте уровень патча: «Настройки» → «О телефоне» → «Версия Android» → «Обновление системы безопасности». Нужная отметка — 2026-11-01 или 2026-11-05.
2. Включите автообновления системы и системных обновлений Google Play: по данным SecurityWeek, часть критических исправлений доставлялась этим каналом ещё до выхода бюллетеня.
3. Для корпоративного парка задайте в MDM минимальный уровень патча и ограничьте доступ к рабочим данным для устройств, которые его не достигли.
4. Устройства без поддержки — без обновлений до Android 14 и выше — стоит вывести из работы с чувствительными данными: исправлений для них не будет.

Часто задаваемые вопросы

Какие версии Android затронуты? По данным бюллетеня, CVE-2026-58868 затрагивает Android 14, 15, 16 и 17. Более старые версии в бюллетене не перечислены, поскольку уже не получают обновлений.

Эксплуатируется ли уязвимость? На момент публикации Google не сообщает об атаках с её использованием. Это не повод откладывать обновление: после выхода патчей в AOSP технические детали доступны всем.

Нужно ли обновлять само приложение? Нет, исправления ставятся на уровне ОС. Но стоит прогнать регресс на пропатченной сборке и пересмотреть, как приложение защищает данные на скомпрометированном устройстве.

Чем отличаются уровни 2026-11-01 и 2026-11-05? Первый закрывает уязвимости платформы, второй дополнительно включает исправления ядра и компонентов поставщиков чипов. Полная защита — только на уровне 2026-11-05.

Источники

• Android Security Bulletin — November 2026, Google, 2 ноября 2026 (первоисточник).
• SecurityWeek — Android's November 2026 Updates Patch Over 200 Vulnerabilities, 3 ноября 2026.