Google、ユーザー操作なしでコード実行を許す Android の重大なRCE脆弱性を修正

Googleは2026年11月のAndroidセキュリティ情報を公開しました。今回のアップデートでは、ユーザーの操作や追加の実行権限なしにリモートコード実行（RCE）が可能となる重大な脆弱性が修正されています。

11月2日に公開された同情報では、Frameworkの脆弱性が最も深刻な問題と位置づけられています。あわせて、Androidのシステムコンポーネントに存在する他の重大なRCE脆弱性も明らかにしています。

Googleの11月のセキュリティ情報によると、セキュリティパッチレベル2026-11-05以降で、該当するすべての問題に対処できます。プラットフォームの重大なRCE脆弱性3件は、Android 14、15、16、16-QPR2、17に影響します。サポート対象の複数のリリースで対応が必要です。

Security software

Androidの重大なRCE脆弱性

Frameworkの脆弱性「CVE-2026-58868」には、Androidの追跡番号A-486464711が割り当てられています。Googleによると、悪用にユーザー操作や追加の実行権限は不要です。ただし、セキュリティ情報には、根本的なプログラミング上の誤りや攻撃コードの配布手段、脆弱なインターフェースの詳細は記載されていません。

Systemコンポーネントには、さらに2件の重大なRCE脆弱性（CVE-2026-58876、CVE-2026-58936）があります。Googleは、このセクションで最も深刻な脆弱性についても、ユーザー操作なしに悪用可能だと説明しています。これらは、以前に報じられたAndroidのゼロクリック脆弱性に続く開示ですが、11月の脆弱性は識別子も修正要件も異なります。

次の表は、Frameworkと Systemの重大な脆弱性をまとめたものです。個別に記載されているカーネルとチップセットの問題は含みません。

Googleの深刻度評価は、開発目的でプラットフォームやサービスの緩和策が無効化されているか、緩和策が回避されたことを前提としています。そのため「重大」という評価は、その条件下での潜在的な影響を示すものです。パッチ未適用のすべての端末が、インターネットに公開されたサービスを通じてすぐに悪用されるという意味ではありません。セキュリティ情報には、これらのRCE脆弱性に関する詳細な攻撃チェーンも記載されていません。

注目すべき点として、CVE-2026-58876は、Google Playシステムアップデートのセクションでも「Media Codecs」の項目に記載されています。これは、この問題にProject Mainline経由の配信経路があることを示します。ただし、11月の脆弱性すべてをGoogle Playシステムアップデートだけで解決できるわけではありません。

今回のセキュリティ情報では、Androidランタイムの情報漏えいの脆弱性「CVE-2026-58988」（深刻度は高）も修正されました。この脆弱性の悪用には、追加の実行権限もユーザー操作も不要です。そのほか、カーネル、モデム、GPU、ベンダー固有の脆弱性にも対処しています。

パッチレベル2026-11-01では、前述のFrameworkとSystemの脆弱性が修正されます。より包括的な2026-11-05では、該当するカーネルとベンダーの修正が加わり、過去のパッチ要件も含まれます。管理対象端末で修正の適用状況を確認する際は、管理者はこの2つのレベルを区別する必要があります。

Googleによると、Androidパートナーには、公開の少なくとも1カ月前に脆弱性が通知されます。対応するAOSPのソースコードパッチは、セキュリティ情報の初回公開から48時間以内に提供される予定です。ユーザーは、端末メーカーが提供するアップデートを適用してください。確認の際は、Androidのバージョンだけに頼らず、適用後のセキュリティパッチレベルを確かめることが重要です。

Security software

プラットフォームの堅牢化やAndroidの高度な保護機能が、防御を補強します。Google Play Protectは、有害な可能性のあるアプリを監視します。Googleは、新しいAndroidの保護機能によって悪用の可能性が低下すると強調しています。可能な限り最新のAndroidバージョンへ更新するよう推奨しています。

SOCにアラートの文脈を提供し、インシデントを迅速に阻止しましょう。16K SOCの脅威インテリジェンスを統合。