Actualizarea Android din noiembrie repară o vulnerabilitate care nu cere nici măcar o atingere
Google a publicat buletinul de securitate Android pentru noiembrie luni, 2 noiembrie, iar prima intrare e dintre cele care contează: CVE-2026-58868, o depășire de heap într-o parte a Framework-ului care decodează cadrele video. Google o consideră critică, pentru că ar putea permite unui atacator să ruleze cod de la distanță pe un telefon, fără permisiuni suplimentare și fără nicio acțiune din partea ta. Sunt afectate Android 14, 15, 16 și 17. Google nu a spus cum ar ajunge un atacator la codul defect, iar până miercuri nu existau rapoarte despre atacuri care să o folosească.
Este una dintre cele 216 corecții, 23 critice, printre care două în Bluetooth și o serie întreagă în codul cipurilor MediaTek și Qualcomm. Buletinul trece oficial și CVE-2026-58882, eroarea „SMS of Death” despre care am scris luni. Corecția ei fusese deja distribuită discret în octombrie, iar acum e și oficial consemnată.
De ce atâta grabă, dacă nimeni nu o exploatează? Pentru că, odată ce o corecție devine publică, atacatorii pornesc de la ea înapoi spre vulnerabilitate. Săptămâna aceasta, firma de securitate Sekoia a descris o campanie pe care o atribuie grupului rus APT29, cunoscut și ca Midnight Blizzard, care a plasat cod de exploatare pe site-uri sparte și pe imitații ale unor site-uri reale. Telefoanele care le vizitau erau analizate și atacate automat, fără nicio atingere. Toate vulnerabilitățile folosite erau deja reparate. Victimele erau iPhone-uri rămase pe iOS 16.7 sau 18.5 și telefoane Android cu Chrome în versiunile 139-145, iar atacatorii vânau datele din WhatsApp și Telegram, parolele salvate, fotografiile și locația.
Așa că deschide Setări, apoi Despre telefon, și caută data actualizării de securitate Android. Ai nevoie cel puțin de 2026-11-01, iar 2026-11-05 acoperă tot buletinul. Când ajunge decide producătorul telefonului: dacă nu a apărut încă, verifică din nou săptămâna viitoare și, între timp, actualizează Chrome din Magazin Play. Pe PC, verificarea actualizărilor din Tendvane și actualizările de aplicații prin winget fac aceeași treabă: îți arată corecțiile care există deja, dar nu au fost încă instalate.