Listopadowa aktualizacja Androida łata lukę, która nie wymaga nawet dotknięcia ekranu
Google opublikował listopadowy biuletyn bezpieczeństwa Androida w poniedziałek 2 listopada, a pierwsza pozycja należy do tych, które się liczą: CVE-2026-58868, przepełnienie sterty w części Frameworka, która dekoduje klatki wideo. Google ocenia ją jako krytyczną, bo mogłaby pozwolić atakującemu zdalnie uruchomić kod na telefonie, bez dodatkowych uprawnień i bez żadnego działania z Twojej strony. Dotyczy Androida 14, 15, 16 i 17. Google nie podał, jak atakujący miałby dotrzeć do wadliwego kodu, a do środy nie było doniesień o atakach z jej użyciem.
To jedna z 216 poprawek, z czego 23 są krytyczne, w tym dwie w Bluetooth i cała seria w kodzie układów MediaTek i Qualcomm. Biuletyn oficjalnie wymienia też CVE-2026-58882, czyli błąd "SMS of Death", o którym pisaliśmy w poniedziałek. Poprawka trafiła na telefony po cichu już w październiku, teraz jest to udokumentowane.
Po co się spieszyć, skoro nikt jej jeszcze nie wykorzystuje? Bo gdy poprawka staje się publiczna, atakujący odtwarzają z niej lukę. W tym tygodniu firma Sekoia opisała kampanię, którą przypisuje APT29, rosyjskiej grupie znanej też jako Midnight Blizzard. Grupa umieszczała kod exploitów na zhakowanych stronach i na stronach podszywających się pod prawdziwe. Telefony, które je odwiedzały, były profilowane i atakowane automatycznie, bez żadnego dotknięcia. Wszystkie użyte luki były już załatane. Ofiarami padały iPhone'y z iOS 16.7 lub 18.5 oraz telefony z Androidem i Chrome w wersjach od 139 do 145, a celem były dane z WhatsAppa i Telegrama, zapisane hasła, zdjęcia i lokalizacja.
Otwórz więc Ustawienia, potem Informacje o telefonie, i znajdź datę aktualizacji zabezpieczeń Androida. Potrzebujesz co najmniej 2026-11-01, a 2026-11-05 obejmuje cały biuletyn. O terminie decyduje producent telefonu, więc jeśli aktualizacji jeszcze nie ma, sprawdź ponownie w przyszłym tygodniu i przy okazji zaktualizuj Chrome w Sklepie Play. Na komputerze to samo zadanie wykonują sprawdzanie aktualizacji w Tendvane i aktualizacje aplikacji przez winget: pokazują poprawki, które już istnieją, ale nie zostały jeszcze zainstalowane.