Листопадове оновлення Android закриває вразливість, для якої не потрібен навіть дотик
Google опублікувала листопадовий бюлетень безпеки Android у понеділок, 2 листопада, і перший пункт у ньому з тих, що мають значення: CVE-2026-58868, переповнення купи в частині Framework, яка декодує відеокадри. Google оцінює її як критичну, бо вона може дозволити зловмиснику віддалено виконати код на телефоні без додаткових дозволів і без жодних ваших дій. Вразливі Android 14, 15, 16 і 17. Як зловмисник дістанеться до помилкового коду, Google не повідомила, а станом на середу повідомлень про атаки з її використанням не було.
Це одне з 216 виправлень, 23 з яких критичні, зокрема два в Bluetooth і низка в коді чипів MediaTek і Qualcomm. Бюлетень також офіційно називає CVE-2026-58882, помилку «SMS of Death», про яку ми писали в понеділок. Її виправлення тихо вийшло ще в жовтні, а тепер це зафіксовано офіційно.
Навіщо поспішати, якщо її ніхто не використовує? Бо щойно виправлення стає публічним, зловмисники відновлюють за ним саму вразливість. Цього тижня безпекова компанія Sekoia описала кампанію, яку вона приписує APT29, російському угрупованню, відомому також як Midnight Blizzard. Воно розміщувало код експлойтів на зламаних сайтах і на сайтах-двійниках справжніх. Телефони, що їх відвідували, аналізувалися й атакувалися автоматично, без жодного дотику. Усі використані вразливості вже були виправлені. Жертвами ставали iPhone, що лишалися на iOS 16.7 або 18.5, і телефони Android з Chrome версій від 139 до 145, а зловмисники полювали на дані WhatsApp і Telegram, збережені паролі, фото та геолокацію.
Тож відкрийте Налаштування, далі «Про телефон», і знайдіть дату оновлення системи безпеки Android. Потрібно щонайменше 2026-11-01, а 2026-11-05 охоплює весь бюлетень. Коли воно прийде, вирішує виробник телефона: якщо його ще немає, перевірте наступного тижня, а заразом оновіть Chrome у Play Маркеті. На ПК ту саму роботу виконують перевірка оновлень у Tendvane та оновлення застосунків через winget: вони показують виправлення, які вже існують, але ще не встановлені.