O boletim de segurança do Android de novembro do Google inclui uma correção para a CVE-2026-58868, uma vulnerabilidade crítica que poderia permitir a execução remota de código sem qualquer ação do proprietário do telefone. A falha afeta o Android 14 até o 17, e a correção está incluída no nível de patch de segurança 2026-11-01 ou posterior. Fabricantes de dispositivos e operadoras distribuem atualizações em seus próprios cronogramas.
A vulnerabilidade envolve um estouro de buffer no heap que poderia causar uma gravação fora dos limites na função onOutputReceived, em FrameDecoder.cpp. O boletim do Google e o registro da CVE não explicam como um invasor poderia alcançar o código afetado. A classificação Crítica do Google pressupõe que as proteções integradas do Android e do Google estejam desativadas ou tenham sido contornadas.
Até 4 de novembro, o Google não havia relatado ataques que explorassem as falhas de seu boletim. A CVE-2026-58868 também não constava no catálogo de Vulnerabilidades Conhecidamente Exploradas da Agência de Segurança Cibernética e de Infraestrutura dos EUA, conforme a atualização de 3 de novembro. O Android 12 e o 13 não aparecem como afetados, embora os registros do Google não informem se essas versões contêm a falha.
Para verificar o nível de patch de um telefone, abra Configurações, toque em Sobre o telefone ou Sobre o tablet e, em seguida, em Versão do Android; procure a data da atualização de segurança do Android. Uma data de 2026-11-01 ou posterior cobre a CVE-2026-58868 e outras falhas listadas nos componentes Framework, System e runtime do Android. O nível 2026-11-05 cobre todas as vulnerabilidades do boletim, inclusive as que afetam o kernel e componentes de fabricantes de chips e tecnologia.
O boletim do Google também lista a CVE-2026-58882, uma falha crítica distinta que poderia causar uma negação de serviço remota sem interação do usuário. O registro da CVE situa o problema em decodeWapPdu, uma função usada para processar mensagens WAP Push entregues por SMS. Um artigo de pesquisa publicado em 29 de outubro descreveu um bug na mesma função, mas nem o Google nem o registro da CVE confirmam se se trata da mesma vulnerabilidade.
O boletim contém 216 vulnerabilidades, 23 das quais classificadas como Críticas. Duas outras falhas Críticas que poderiam permitir a execução remota de código, a CVE-2026-58876 e a CVE-2026-58936, estão no componente System do Android. O nível de patch 2026-11-05 também corrige problemas Críticos no kernel, no código de modem da MediaTek e em um componente de código fechado da Qualcomm. O boletim do Google não oferece uma solução alternativa para telefones que ainda não receberam a atualização.
Fontes: The Hacker News.