Google、Android脆弱性216件を修正：ユーザーが知っておくべきこと

Googleが公開した11月のAndroidセキュリティアップデートでは、216件の脆弱性が修正されました。このなかには、ユーザーの操作なしに攻撃者が悪意のあるコードを実行できる可能性のある、重大な脆弱性も含まれています。

修正対象には、重大度が「Critical」の脆弱性が約2ダース含まれています。内容は、リモートコード実行（RCE）、権限昇格、情報漏えい、サービス拒否（DoS）攻撃などです。

2026年11月1日のセキュリティパッチレベルで示される第1弾では、Android Framework、System、Runtimeの119件の脆弱性が解消されます。内訳はFrameworkが65件、Systemが53件です。残る1件は、Android Runtimeの情報漏えいの脆弱性です。 

Googleはセキュリティ情報で、次のように説明しています。「これらのうち最も深刻なのは、Frameworkコンポーネントに存在する重大な脆弱性です。追加の実行権限なしにリモートコード実行につながる恐れがあり、悪用にユーザーの操作は必要ありません」

このほか、Android Systemには、重大なRCEの脆弱性としてCVE-2026-58876とCVE-2026-58936の2件が存在します。

11月5日のセキュリティパッチレベルで示される第2弾では、Linuxカーネルのほか、Arm、Imagination Technologies、MediaTek、Unisoc、Qualcommのコンポーネントに影響する97件の脆弱性が修正されます。 

このうち十数件は重大な脆弱性で、Bluetooth、protected Kernel-based Virtual Machine（pKVM）、ヒューマンインターフェースデバイス（HID）関連コンポーネント、MediaTekのモデム、Qualcommのクローズドソースコンポーネントに関係します。

「SMS of Death」にも注目

もう1件注目すべき脆弱性が、CVE-2026-58882です。「SMS of Death」の通称で知られる、重大なサービス拒否の脆弱性です。

この脆弱性では、細工されたSMSメッセージによってAndroidの通話サービスがクラッシュし、緊急通報を含む通話中の通話が中断される恐れがあります。eSecurity Planetが以前報じたとおり、独立系研究者のMark Blaszczyk氏は5月にGoogleへ報告したうえで、10月29日にこの問題を公表しました。

Googleは以前、10月に修正が提供されたとの認識を示していましたが、この脆弱性は11月のセキュリティ情報にも記載されています。再掲されたからといって、先に修正を受け取った端末が脆弱なままだとは限りません。それでも、ユーザーは自分の端末に該当するセキュリティアップデートが適用されているかどうかを確認すべきです。

Samsungも独自のGalaxy向けセキュリティパッケージを準備

Samsungも11月のセキュリティリリースの詳細を公表しました。Android向けの修正に、Galaxy端末向けの追加保護を組み合わせたものです。

SammyGuruによると、このパッケージで修正される脆弱性は206件です。内訳は、Googleによる178件のAndroid向け修正、Samsung Semiconductorの4件の修正、Samsung独自ソフトウェアに影響する24件の脆弱性です。

Galaxy固有の修正は、ブートローダー、カメラフィルタープラグイン、Samsung連絡先、電話アプリ、メッセージ、SIMロック保護に関する問題が対象です。特定の条件下で、不正な通話の発信、機密情報の露出、コード実行を許す恐れのある脆弱性も含まれます。Samsungは、確定した配信スケジュールを示していません。提供時期は端末のモデル、通信事業者、地域によって異なり、アップデートは段階的に届く見通しです。

Androidユーザーにとってのパッチの意味

一般ユーザーにとって最大の懸念は、一部の脆弱性では、攻撃が成功する前に不審なリンクを開いたり、悪意のあるアプリをインストールしたり、通常とは異なる権限を承認したりする必要がないことです。

特にFrameworkのRCEの脆弱性は、ユーザーの操作を必要としない攻撃が可能なため、深刻です。Androidユーザーは、通常のソフトウェアアップデートを受け取ったからといって11月分の脆弱性がすべて修正されたと思い込まず、セキュリティパッチの日付を確認してください。

11月1日のパッチレベルには、SMSの脆弱性を含むFrameworkとSystemの修正が含まれます。11月5日のパッチレベルは、Googleの11月のセキュリティ情報に記載された該当するすべての脆弱性を対象とします。

Pixelユーザーは、設定で利用可能なシステムアップデートがないか確認してください。Samsungユーザーは、「設定」、「ソフトウェア更新」、「ダウンロードおよびインストール」の順に進みます。他のメーカーでは、メニュー名やリリース時期が異なる場合があります。

パッチ適用の遅れは企業にとって依然としてセキュリティ上の問題

Android端末を管理する企業にとって、今回の11月のリリースはパッチ管理上の大きな課題となります。 

メーカー、ハードウェアコンポーネント、通信事業者、地域ごとの配信スケジュールが異なるため、Googleが修正を公開した後も、一部の端末が既知の脆弱性にさらされたままになる恐れがあります。

企業のIT部門は、管理対象端末のセキュリティパッチレベルを確認し、社内メールや機密性の高いアプリケーションへのアクセスに使う端末のアップデートを優先する必要があります。あわせて、該当するベンダー固有の修正が適用済みかどうかも確認してください。

また、モバイルデバイス管理（MDM）ポリシーを見直し、サポート対象外の端末を洗い出すことも重要です。可能な場合は、最低限のセキュリティパッチ要件を適用するようにしてください。

今回の11月のリリースは、パッチが提供されているだけでは不十分だという事実を改めて示しています。企業には、どの端末が実際に修正を受け取り、どの端末がアップデート待ちで脆弱なままなのかを把握できる可視性が求められます。

その他のセキュリティニュースとして、General Motors（GM）は米国の36州と2億2,000万ドルの和解で合意しました。ドライバーの位置情報や運転行動のデータを適切な同意なしに第三者のデータブローカーへ収集・販売し、保険会社が保険料の調整に利用できるようにした疑いが持たれていたものです。