невзлом

Важно · Android

Android Nov 2026 — Critical RCE без UI + CVE-2026-58882 Critical DoS

· CVE-2026-58868, CVE-2026-58876, CVE-2026-58936, CVE-2026-58882

← Простая версия для всех

Суть

Бюллетень Google от 02.11.2026. Самое тяжёлое по тексту вендора: Critical в Framework — remote code execution, без дополнительных execution privileges, user interaction is not needed. То же для двух Critical RCE в System. Отдельно Critical DoS CVE-2026-58882 (удалённый отказ в обслуживании). Вектор «служебное SMS / WAP Push», отказ телефонии, обрыв звонков и публичный PoC (~31.10.2026) — вторичные источники, в бюллетене Google/INCIBE не детализированы. Числового CVSS в бюллетене нет. Platform mitigations / Play Protect — снижают вероятность, не заменяют patch level.

Затронуто и исправлено

CVEКомпонентТипSeverityAOSP
CVE-2026-58868FrameworkRCECritical14, 15, 16, 16-qpr2, 17
CVE-2026-58876SystemRCECritical14, 15, 16, 16-qpr2, 17
CVE-2026-58936SystemRCECritical14, 15, 16, 16-qpr2, 17
CVE-2026-58882SystemDoSCritical14, 15, 16, 16-qpr2, 17
  • Patch level 2026-11-01: все issues этой группы + предыдущие бюллетени.
  • Patch level 2026-11-05 или новее: полный ноябрь (kernel, Arm/Imagination/MediaTek/Unisoc/Qualcomm и др.).
  • По вторичным: фикс 58882 для 14–17 могли раздавать раньше октября, но в публичном October bulletin CVE не было; в November — Critical DoS. Для инвентаря ориентир — security patch date ≥ 2026-11-01, не «был октябрьский OTA».
  • Android 12/13: по вторичным разборам Google-фикса 58882 не будет (EOL веток). OEM-бэкпорт — неизвестно, не обещать.

Пример: 2026-10-05 — ниже ноября; 2026-11-01 — закрывает четвёрку выше; 2026-11-05 / 2026-12-05 — цель / тоже ок.

Эксплуатация

  • INCIBE-2026-823 (03.11.2026): колонка эксплуатации для критических CVE — No. В бюллетене Google статуса эксплуатации нет — не приписываем.
  • CISA KEV: свежей записи по этим CVE в ленте на 04.11.2026 нет.
  • PoC: факт наличия по CVE-2026-58882 (вторично). Ссылок, имён репозиториев, параметров и байтов PDU в наших текстах нет.
  • Массовых цифр жертв — неизвестно. Не утверждать «уже бьют в поле» по RCE.

Как проверить

Настройки → О телефоне → Обновление системы безопасности
# или: Система → О телефоне → Уровень исправления безопасности
# Xiaomi/Honor/Realme: часто «О телефоне → Все параметры / Версия Android»
  • Дата на экране «1 ноября 2026» = уровень 2026-11-01; «5 ноября 2026» = 2026-11-05.
  • ADB (включили только для съёма, затем отключить отладку по USB): adb shell getprop ro.build.version.security_patch — нужно не ниже 2026-11-01, цель 2026-11-05 или новее (сравнение YYYY-MM-DD).
  • Инвентаризация MDM/скрипт: модель + security_patch + ro.build.version.release; флаг «OTA от OEM застряла». Push OTA из EMM обычно нельзя — только контроль лага и эскалация к OEM.
  • После OTA сверить дату ещё раз: «обновление установлено» ≠ нужный patch level, если вендор катит кумулятив частями.

Как исправить

  1. Перед OTA: Wi‑Fi, заряд ≥75% (рекомендация Google). Путь: «Настройки → Система → Обновление системы» (Samsung: «Обновление ПО»). Reboot обязателен.
  2. Цель парка: 2026-11-05+. Временный минимум по критической группе ноября: 2026-11-01.
  3. Проверить политику автозагрузки: часто включена, но «только Wi‑Fi» / отложенная установка / канал оператора задерживают.
  4. Pixel — раньше; Samsung/Xiaomi/прочие — ждать OEM. Не ставить сторонние «патч-прошивки».
  5. Play system updates (Mainline) на Android 10+ могут закрывать часть компонентов (в т.ч. codecs рядом с 58876) датой 2026-11-01 — дополнение к device security_patch, не вместо него для 58868/58882 и полного бюллетеня.
  6. Зафиксировать SLA ожидания OEM; эскалировать в поддержку бренда со скрином patch date и списком CVE.

Если обновить нельзя

EOL / OEM молчит: снизить экспозицию (не sideload, Play Protect on где есть, минимум опасных разрешений). Официального workaround в бюллетене для RCE/58882 нет. Для 12/13 по 58882 — план замены устройства, не «подождать Google».

Признаки взлома и что делать

Индикаторов RCE от Google нет. При подозрении на успешную эксплуатацию RCE одного OTA мало: сменить пароли/сессии аккаунтов Google и банков, проверить список устройств входа, при необходимости сброс с заранее снятым бэкапом. Для сценария 58882 (вторично): массовые обрывы cellular / reboot loop — изолировать SIM при необходимости, не wipe из recovery без бэкапа, снять bugreport, проверить patch date, эскалация к специалисту.

Источники

Реестры NVD/CVE.org — номерами без ссылок: CVE-2026-58868, CVE-2026-58876, CVE-2026-58936, CVE-2026-58882.