Ing. Calogero Bono
Google опубликовала бюллетень безопасности Android за ноябрь 2026 года, но источники расходятся в подсчётах. Национальное агентство по кибербезопасности Италии насчитывает 149 уязвимостей, Cybersecurity360 — 216. Среди исправлений есть брешь, которую можно использовать без единого нажатия пользователя, и CVE-2026-58882, для которой уже опубликован Proof of Concept. Если ты отвечаешь за корпоративные телефоны, первым делом проверь уровень патча.
Несколько терминов, прежде чем перейти к фактам. CVE — это код, который идентифицирует известную уязвимость. Proof of Concept (PoC) — демонстрационный код, доказывающий, что брешь можно эксплуатировать. Denial of Service — атака, из-за которой сервис становится недоступен. Remote Code Execution — выполнение кода на устройстве удалённо. SVE — идентификатор, который Samsung использует для уязвимостей, относящихся к её Galaxy.
Что содержит бюллетень Android за ноябрь 2026?
Согласно оповещению ACN AL02/261103/CSIRT-ITA, Google исправила 149 уязвимостей, из них 12 критических и 137 высокой степени серьёзности. Типы – удалённое выполнение кода, повышение привилегий, отказ в обслуживании и раскрытие информации.
По данным Cybersecurity360, бюллетень, опубликованный 2 ноября, содержит 216 CVE, из них 23 критических. Самая серьёзная проблема — уязвимость во Framework Android, которая может позволить выполнение кода без взаимодействия с пользователем.
Почему цифры не совпадают?
Источники не объясняют разницу. Cybersecurity360 уточняет, что её подсчёт основан на CVE из таблиц бюллетеня, тогда как оповещение ACN приводит данные в сводном виде. Причина может быть в способе подсчёта записей, но это наше предположение, не подтверждённое проверкой.
SamMobile приводит третью цифру – 155 исправлений Google и 20 критических. Совет — не ограничиваться общим числом, а смотреть на установленный уровень патча.
Что такое уязвимость SMS of Death?
ACN сообщает о CVE-2026-58882 типа Denial of Service, известной как «SMS of Death». Она затрагивает компонент WapPushOverSms и функцию decodeWapPdu, которая недостаточно проверяет параметры сообщений WAP Push.
Специально созданный SMS, без участия жертвы, мог бы заблокировать процесс com.android.phone. По данным ACN, это нарушит работу сотовой сети, включая экстренные вызовы, а в некоторых случаях приведёт к повторяющимся перезагрузкам. Мы писали об этом в отдельном материале.
Что меняется для Samsung Galaxy?
По данным SamMobile, патч Samsung за ноябрь исправляет более 160 уязвимостей, в том числе 24 специфичных для Galaxy. Из них 17 опубликованы, а семь остаются закрытыми. Исправления касаются чипсетов Exynos, загрузчика, экрана блокировки, SIM-блокировки, Dialer, Contacts и Messages.
Samsung должна начать распространение в ближайшие дни. Выход обновления совпадает с распространением One UI 9.0 на большинстве совместимых моделей.
Ограничения, которые стоит знать
Подсчёты уязвимостей в трёх источниках различаются, и ни один не объясняет почему. У нас нет технических подробностей уязвимости без клика в Framework. Из оповещения ACN мы знаем только, что PoC для CVE-2026-58882 опубликован, но не то, что её уже эксплуатируют. Сроки выхода обновлений зависят от отдельных производителей.
Что меняется для тех, кто работает с цифровыми технологиями
Для тех, кто управляет парком смартфонов, ориентиром служит уровень патча 2026-11-05 или новее, который указывает Cybersecurity360. По данным ACN, затронуты Android 14, 15, 16, 16-qpr2 и 17 с патчами старше ноября. Фрагментация распространения важна, как показывает данные о доле Android 17, застрявшей на уровне 1%. Если ты разрабатываешь корпоративные приложения, встроенная в процессы безопасность помогает быстрее реагировать.
Наше мнение
Ежемесячный бюллетень стал ритуалом, но настоящая проблема — разрыв между исправлением Google и телефоном в кармане. Уязвимость, которая срабатывает от SMS, без того чтобы кто-то что-то нажимал, делает эту задержку менее приемлемой. Компаниям стоит считать уровень патча показателем, за которым нужно следить, а не деталью для пользователя. Удивляет и то, насколько официальные подсчёты расходятся.
Часто задаваемые вопросы
Сколько ошибок исправляет патч Android за ноябрь 2026?
Зависит от источника. ACN говорит о 149 уязвимостях, Cybersecurity360 насчитывает 216, а SamMobile упоминает 155 исправлений Google. Источники не объясняют разницу.
Какой уровень патча мне нужен?
Cybersecurity360 указывает уровень 2026-11-05 или новее, чтобы покрыть все применимые исправления. Проверить его можно в настройках, в разделе информации о телефоне.
Что такое CVE-2026-58882?
Это уязвимость типа Denial of Service, известная как SMS of Death. По данным ACN, специально созданное сообщение WAP Push может заблокировать телефонию без участия пользователя.
Какие версии Android затронуты?
Android 14, 15, 16, 16-qpr2 и 17 с патчами безопасности старше ноября 2026 года, по данным ACN.
Когда выйдет патч для Samsung?
В ближайшие дни, по данным SamMobile. Обновление касается совместимых смартфонов и планшетов Galaxy.
Что проверить в ближайшие недели с патчем за ноябрь
Бюллетень вышел, но важно, когда исправления появятся на реальных устройствах. В ближайшие дни станет ясно, насколько быстро производители их распространяют.
- Проверь, какие модели твоего парка получили уровень 2026-11-05, а какие отстают.
- Следи за обновлениями ACN, чтобы узнать, эксплуатируется ли PoC для CVE-2026-58882.
- Запроси у производителей дату выхода обновления для устройств, которые его ещё не получили.
