Google објави безбедносни додатоци за критична ранливост во Android која овозможува далечинско извршување код без интеракција од корисникот

Критична ранливост во Android може да му овозможи на напаѓач далечински да изврши код на телефонот без никаква активност од страна на корисникот, соопшти Google во својот ноемвриски безбедносен билтен.

Ранливоста, означена како CVE-2026-58868, ги засега верзиите на Android од 14 до 17. Телефоните го добиваат решението преку безбедносната закрпа со ниво 2026-11-01 или поново, која производителите на телефони и мобилните оператори ја испорачуваат според сопствен распоред.

Заклучно со 4 ноември, Google во својот билтен не пријавил напади со искористување на наведените ранливости. Ниту една од нив не се наоѓала во каталогот на познати експлоатирани ранливости (Known Exploited Vulnerabilities), кој го одржува американската Агенција за сајбер-безбедност и инфраструктурна безбедност (CISA), според ажурирањето од 3 ноември.

Ранливоста претставува потенцијална можност за запишување податоци надвор од дозволените граници на меморијата, предизвикана од прелевање на баферот на heap-меморијата во функцијата onOutputReceived во датотеката FrameDecoder.cpp. Ниту безбедносниот билтен, ниту записот за ранливоста во CVE-базата не објаснуваат на кој начин напаѓачот би можел да пристапи до тој код.

Критичната оцена на Google претпоставува дека вградените безбедносни механизми во Android и услугите на Google се исклучени или заобиколени.

Постарите верзии, како Android 12 и 13, не се наведени како засегнати од оваа ранливост. Во евиденцијата на Google не е наведено дали тие ја содржат истата ранливост.

Како да проверите дали вашиот телефон е ажуриран

Страницата за поддршка на Google ги наведува следните чекори:

1. Отворете ја апликацијата Settings (Поставки).
2. Изберете About phone (За телефонот), или About tablet (За таблетот), а потоа Android version (Верзија на Android).
3. Проверете ги датумите на безбедносното ажурирање на Android и ажурирањето на системот Google Play.

Датумот на безбедносното ажурирање на Android го означува нивото на безбедносната закрпа на телефонот. Датумот 2026-11-01 или понов ги опфаќа ранливоста CVE-2026-58868 и останатите пропусти во компонентите Framework, System и Android Runtime.

Датумот 2026-11-05 или понов ги опфаќа сите ранливости наведени во ноемврискиот билтен, вклучувајќи ги и оние во кернелот, како и компонентите од компаниите Arm, Imagination Technologies, MediaTek, Unisoc и Qualcomm.

Google поставува два различни датуми за производителите на телефони да можат побрзо да испорачаат пакет со заеднички безбедносни поправки за сите Android уреди. Сепак, компанијата ги охрабрува да ги вклучат сите поправки наведени во билтенот.

Телефоните со Android 10 или понова верзија може да добијат и одредени безбедносни поправки преку ажурирањата на системот Google Play. Во овомесечниот список на овие ажурирања е вклучена уште една критична ранливост, CVE-2026-58876.

Ранливоста CVE-2026-58868 не се наоѓа на тој список, па затоа за нејзина проверка треба да се следи датумот на безбедносното ажурирање на Android.

Во безбедносниот билтен не е наведено привремено решение за телефоните на кои сè уште не може да се инсталира ажурирањето.

Ранливост во кодот за текстуални пораки во Android овозможува далечински напад за одбивање на услуга

Друга критична ранливост, CVE-2026-58882, може да овозможи далечински напад за одбивање на услуга (DoS) без никаква интеракција од корисникот, според нејзиниот CVE-запис. Таа се наоѓа во функцијата decodeWapPdu, дел од кодот на Android задолжен за обработка на WAP Push пораки што пристигнуваат преку SMS.

На 29 октомври, истражувач кој објавува под името Mark B објави анализа со наслов „SMS of Death“ за грешка во истата функција. Ниту безбедносниот билтен, ниту CVE-записот не потврдуваат дали CVE-2026-58882 е истата ранливост.

Според објавената анализа, една неправилно форматирана WAP Push порака може да го урне процесот com.android.phone и да ги прекине сите активни повици, вклучувајќи ги и итните повици. При тестирањата на неколку модели телефони, падот се случувал секојпат.

На напаѓачот му е потребен само телефонскиот број на жртвата, а пораката воопшто не се појавува во сандачето за примени пораки. Телефонот повторно се обидува да ја обработи пораката при секое вклучување, поради што може постојано да паѓа при стартување, сè додека пораката не биде отстранета.

Јавно е достапна и апликација за демонстрација на нападот (proof-of-concept), која испраќа ваква порака од еден телефон на друг. Според истражувачот, телефоните со Android 12 и 13 го користат истиот код, но не го добиваат безбедносното решение што е достапно за поновите верзии.

Други критични ранливости

Ноемврискиот безбедносен билтен на Google наведува вкупно 216 безбедносни пропусти, од кои 23 се оценети како критични. Уште две критични ранливости може да овозможат далечинско извршување код: CVE-2026-58876 и CVE-2026-58936. Двете се наоѓаат во компонентата System на Android.

Шест критични ранливости се во кернелот, од кои две се поврзани со Bluetooth-кодот. Најсериозната ранливост во кернелот може да му овозможи на далечински напаѓач да добие повисоки кориснички привилегии без никаква интеракција од корисникот.

Безбедносното ниво на закрпата 2026-11-05 ги поправа и критичните ранливости во кодот на модемите на MediaTek, како и во една затворена компонента на Qualcomm.

Во својот ноемвриски безбедносен билтен, MediaTek ги опишува критичните ранливости во модемите како пропусти што овозможуваат запишување податоци надвор од дозволените граници на меморијата и наведува дека компанијата нема сознанија за нивно активно искористување од страна на напаѓачи.

Извори:

• The Hacker News – Google Issues Patches for Critical Android Flaw That Could Allow RCE Without User Interaction The Hacker News