Googleは11月2日、2026年11月のAndroidセキュリティ速報を公開しました。セキュリティパッチレベルが2026-11-05以降のデバイスでは、速報に記載されたすべての問題に対処済みです。
最も深刻なのは、Frameworkに存在する重大なリモートコード実行（RCE）の欠陥です。この欠陥は、追加の実行権限もユーザー操作も必要としません。
速報では、修正を2026-11-01と2026-11-05の2つのパッチレベルに分けています。これにより、パートナー各社はデバイスを問わず共通のプラットフォーム修正を先に配信できます。Googleは、公開の少なくとも1カ月前に、すべての問題をAndroidパートナーに通知しています。
FrameworkのCVE-2026-58868（A-486464711）は、重大（Critical）と評価され、種別はRCEです。修正はAndroid 14、15、16、16-qpr2、17に提供されました。CVE-2026-58857もFrameworkのRCEで、深刻度は高（High）です。
このコンポーネントには、深刻度「高」の権限昇格（EoP）、情報漏えい、サービス拒否（DoS）の脆弱性も数十件含まれています。
Systemコンポーネントには、重大なRCEがさらに2件あります（CVE-2026-58876、CVE-2026-58936）。重大なEoPも3件あります（CVE-2026-55275、CVE-2026-55283、CVE-2026-58984）。
CVE-2026-58814とCVE-2026-58882は、重大なDoSです。AndroidのSystemレイヤーにおけるゼロクリックRCEは、近年の速報で繰り返し報告されています。たとえば、2026年5月に報告された、Systemコンポーネントのシェル権限でのRCEがあります。
2026-11-05レベルはカーネルコンポーネントを対象としています。最も深刻なのは、権限もユーザー操作も不要なリモートのEoPです。重大なEoPは、Bluetooth（CVE-2026-53256、CVE-2026-89774）、pKVM（CVE-2026-59044、CVE-2026-59045）、HID（CVE-2026-80604）にまたがっています。
CVE-2026-59048は、pKVMにおける重大な情報漏えいです。深刻度「高」のカーネル関連の脆弱性は、DMAバッファ、FUSE、メモリ管理、NFC、TLS、Binderに及びます。
FrameworkとSystemの修正の一部は、Google Playシステムアップデートで配信されます。対象には、Media Codecs（CVE-2026-58876）、MediaProvider、WiFi、Telephonyの各コンポーネントが含まれます。
Mainline経由の配信なら、OEMによるファームウェア全体のリリースを待たずに、影響を受けるデバイスにパッチを適用できます。2025年11月に報告された、AndroidのSystemコンポーネントにおけるゼロクリックRCEも、同じ形式で修正が配信されました。
チップセット固有の脆弱性には、各ベンダーが割り当てた深刻度が付いています。MediaTekは、重大なModemの脆弱性を8件報告しています。CVE-2026-20499、CVE-2026-20519、CVE-2026-20520、そしてCVE-2026-20545からCVE-2026-20549までです。Qualcommは、非公開ソースに関する重大な脆弱性としてCVE-2026-25285を1件挙げています。
ArmのCPUとMaliに関する脆弱性は深刻度「高」です。Imagination TechnologiesのPowerVR-GPUに関する12件も同様です。Unisocは、深刻度「高」のModemとubootの脆弱性（CVE-2026-80335、CVE-2026-80336など）を挙げています。
Modemレベルの欠陥が問題になるのは、Androidフレームワークよりも下の層に存在するためです。以前の分析では、携帯回線のビデオ通話を介してUNISOC T612のベースバンドでRCEが可能になる問題が取り上げられました。この分析により、フレームワークのパッチではベースバンドの欠陥を緩和できないことが示されています。
ベンダー関連の脆弱性の多くにはアスタリスクが付いています。これは、バグの詳細が公開されていないことを意味します。これらの更新は、通常、Pixelデバイス向けの最新バイナリドライバーで配信されます。
これらの更新を取り込むデバイスメーカーは、ro.build.version.security_patchを2026-11-01または2026-11-05に設定します。パッチレベルが2026-11-05以降のデバイスには、今回および過去の速報に含まれる該当パッチがすべて適用されています。
Googleによると、新しいAndroidバージョンのプラットフォーム強化により、多くの問題で悪用が難しくなっています。Google Play Protectは悪用を監視しており、Google Mobile Services搭載デバイスでは初期設定で有効です。
深刻度の評価は、プラットフォームとサービスの緩和策が無効化された、または回避された場合を前提としています。ソースパッチは、公開から48時間以内にAndroid Open Source Project（AOSP）のリポジトリに反映される予定です。その後、速報はAOSPへのリンクを加えて改訂されます。
AOSPがソースコードを公開するのは、現在は第2四半期と第4四半期のみです。android-latest-releaseは、常に最新の公開内容を参照します。
脅威調査を効率化し、手作業を減らすために、16,000以上のSOCチームがANY.RUNを利用しています。チームで試してみる
翻訳元: https://cyberpress.org/google-fixes-208-android-vulnerabilities/
