Android 17 QPR2が前倒しで配信開始、重大な脆弱性の修正を含む

Pixelのセキュリティパッチの適用日は、新機能と同じくらい注目に値します。

Googleは11月10日、対応するPixelデバイス向けに「Android 17 QPR2」の配信を開始しました。11月分のセキュリティパッチと33件の機能修正が含まれます。 9to5Googleによると、今回のリリースは予想より約1カ月早く、11月のPixel Feature Dropと同時に提供されました。

Androidスマートフォンを管理する企業にとって、まず優先すべきは、どの端末に修正が適用されたかを確認することです。他のメーカーは独自の更新スケジュールに従うため、Pixelで配信が始まったからといって、社内のAndroid端末全体が保護されているとは限りません。

AndroidとPixelのセキュリティ情報は、それぞれ別の脆弱性を扱う

Googleの 11月のAndroidセキュリティ情報には、215件の固有の脆弱性が掲載されています。内訳は、パッチレベル11月1日分が118件、11月5日分が97件です。これらは、Androidソフトウェア、カーネル、ハードウェアベンダーのコンポーネントにまたがる、重大な脆弱性23件と 深刻度「高」の脆弱性192件で構成されます。

これとは別の 11月のPixelセキュリティ情報では、Google製デバイスに影響する脆弱性がさらに166件掲載されています。深刻度は「中」「高」「重大」の各レベルにわたります。

重大な脆弱性のうち、CVE-2026-58868はAndroid Frameworkに影響し、追加の実行権限やユーザー操作なしにリモートコード実行（RCE）が可能になるおそれがあります。もう1件のCVE-2026-55275はAndroid Systemに影響する権限昇格（EoP）の脆弱性で、攻撃者が本来持たない権限を取得できる可能性があります。

セキュリティ情報では、深刻度「高」の情報漏えいの脆弱性も挙げられています。その一つがAndroid RuntimeのCVE-2026-58988です。この脆弱性を悪用されると、追加の実行権限やユーザー操作がなくても、端末内に保存された情報が露出するおそれがあります。 

Googleは、これらを含む報告済みの脆弱性に、11月のセキュリティアップデートで対処しました。

セキュリティパッチに加え、Android 17 QPR2は対応するPixelデバイスに機能の変更と不具合修正ももたらします。

修正の対象は、通知のスヌーズ、通知シェード、テーマカラー、通知の視認性などです。オーディオや音量に関する不具合も解消されます。

AIのプライバシーへの影響を懸念するユーザー向けに、Android 17 QPR2では「設定」>「セキュリティとプライバシー」>「プライバシー ダッシュボード」>「データロギング」にPrivate Compute Coreのログ機能が加わります。Private Compute Core自体は2021年に登場したものです。今回の追加により、ユーザーは既存のプライバシー保護コンポーネントの動作を確認できるようになります。

そのほか、充電、Bluetooth、カメラ、アプリの切り替え、センサー、システム全般のパフォーマンスといった機能の安定性も向上しています。

Android 17 QPR2の対象端末と配信時期

Googleは11月10日、11月のセキュリティパッチおよびPixel Feature Dropと同時に、対応Pixelデバイス向けにAndroid 17 QPR2の配信を開始しました。予定より約1カ月早い開始ですが、対象のすべての端末に同時に届くわけではありません。

対応デバイスは次のとおりです。

アップデートは、「設定」>「システム」>「システム アップデート」で「アップデートを確認」を選ぶと確認できます。まだ表示されない場合は、段階的な配信が完了するまでしばらくお待ちください。

Android 17 QPR2ベータ版を使用している場合は、オプトアウトする前に、 ベータ版プログラムから退会するためのGoogleの手順を確認してください。データを消去せずに対応する安定版へ移行できる期間は限られています。この期間を過ぎてから安定版に戻すと、端末内に保存されたデータが消去されるおそれがあります。作業を進める前に、端末をバックアップし、アップデートの案内にも目を通してください。

業務用端末でパッチの適用状況を確認する

対象のPixelでは、インストール後にAndroidのセキュリティパッチレベルが2026年11月5日以降になっていることを確認してください。Googleは、このパッチレベルが、対応Pixelデバイスにおいて11月の両方のセキュリティ情報を網羅するものだとしています。

セキュリティ担当者は、アップデートが提供された時点で、展開状況の確認を行う必要があります。

• インストールの確認：各端末のモデル、ソフトウェアビルド、Androidセキュリティパッチレベルを記録します。
• 例外の把握：配信待ちの端末、インストールに失敗した端末、再起動を先送りしているユーザーを特定します。
• フォローアップの割り当て：未対応の端末ごとに担当者と再確認の期日を決めます。
• サポート状況の確認：セキュリティアップデートの提供が終了した端末は、組織のセキュリティポリシーに基づき、買い替えやアクセス制限を検討します。

他ブランドのAndroid端末については、メーカーのセキュリティ情報や、モデル別の配信情報を参照してください。四半期ごとのプラットフォームリリースと月次のセキュリティアップデートは、異なるスケジュールで提供されることがあります。Pixelと同等の機能が届いていない場合でも、セキュリティパッチレベルを確認することが重要です。

自動アップデートは有効ですが、セキュリティ担当者はインストールが完了したことを確認する必要があります。未解決の端末は、状況が確認できるまでパッチ管理のプロセス上で可視化し続けてください。

関連記事：複数のAndroid端末が混在する環境でGalaxyを利用している場合は、 Samsungの11月のセキュリティアップデートで、ベンダー固有の脆弱性や所有者が確認すべきパッチの詳細を解説しています。