גוגל פרסמה את עדכון האבטחה של נובמבר 2026 ל-Android. הפגיעות הבולטת בו, CVE-2026-58868, מדורגת קריטית ועלולה לאפשר הרצת קוד על הטלפון מרחוק, בלי שהמשתמש יעשה דבר. נכון לעכשיו אין דיווח על ניצול בפועל.
| מזהה | CVE-2026-58868 |
| מוצר וגרסאות | Android 14 – 17 |
| חומרה | קריטית לפי גוגל; ציון CVSS לא פורסם |
| מנוצל בפועל | לא דווח |
| סטטוס תיקון | רמת עדכון 2026-11-01 ומעלה |
מה קרה
הליקוי הוא כתיבה מחוץ לגבולות הזיכרון (גלישת חוצץ בערימה) בפונקציה onOutputReceived בקובץ FrameDecoder.cpp. הוא משפיע על Android 14 עד Android 17 ותוקן ברמת עדכון האבטחה 2026-11-01. דירוג "קריטי" של גוגל מניח שהגנות הפלטפורמה והשירותים כבויות או עוקפות. הבולטין אינו מפרט כיצד תוקף יגיע לקוד הפגום, ולא פורסם ציון CVSS.
באותו עדכון תוקנו גם פגיעויות קריטיות נוספות ברכיב System (CVE-2026-58876 ו-CVE-2026-58936) וכן פגם מניעת שירות מרחוק ב-CVE-2026-58882. בסך הכול הבולטין מכסה 216 פגיעויות, 23 מהן קריטיות, ורכיבי MediaTek ו-Qualcomm מתוקנים ברמת 2026-11-05.
נקודות לשים לב
- בדוק ב-הגדרות > אודות הטלפון את תאריך עדכון האבטחה של Android: תאריך 2026-11-01 או מאוחר יותר מכסה את CVE-2026-58868.
- התיקון מגיע לפי לוח הזמנים של יצרן המכשיר והמפעיל, כך שבמכשירים שאינם של גוגל ייתכן עיכוב. בצי מכשירים ארגוני בדוק מול ה-MDM אילו מכשירים עדיין מתחת לרמה הנדרשת.
- הבולטין לא מציין עקיפת פתרון ביניים (workaround), ולכן עדכון הוא הדרך היחידה לצמצם את החשיפה.
- הפגיעות אינה ברשימת עדכוני המערכת של Google Play, ולכן אין להסתפק בבדיקת גרסת עדכון המערכת.
- אין כרגע ראיה לניצול בפועל והפגיעות אינה ב-KEV, אבל פגיעות ללא אינטראקציה במכשירי קצה מצדיקה עדכון מהיר.
מקורות: Android Security Bulletin, נובמבר 2026 · The Hacker News
₿ אהבת את הפוסט?
אפשר לשלוח לי ביטקוין ישירות לכתובת שלי. סרקו את הקוד, או העתיקו את הכתובת:
bc1qsn043qmlv4ejxydeknkfm9u6e93e6tegmq9x85
שימו לב: העברה on-chain כרוכה בעמלת רשת שאינה תלויה בסכום, ולכן סכומים קטנים מאוד אינם כדאיים.
