أصدرت Google في 2 نوفمبر 2026 نشرة Android الأمنية لشهر نوفمبر، لمعالجة 216 ثغرة أمنية، بينها 23 ثغرة مصنفة بدرجة حرجة. وتتصدر هذه التهديدات الثغرة الحرجة (CVE-2026-58868) في مكون Framework، والتي تتيح للمهاجمين تنفيذ أوامر برمجية عن بعد دون الحاجة إلى صلاحيات إضافية أو أي تفاعل من المستخدم، وتستهدف أنظمة Android بإصداراتها 14 و15 و16 و17.
يوضح السجل الرسمي للثغرة أنها ناتجة عن كتابة خارج الحدود بسبب فيض في المخزن المؤقت داخل الدالة onOutputReceived في الملف FrameDecoder.cpp. ورغم عدم توضيح النشرة لآلية وصول المهاجم إلى هذا الكود، تبني Google تقييمها على افتراض تجاوز أو تعطيل آليات حماية المنصة والخدمات لأغراض التطوير. وتصنف بيانات CISA المرفقة بالسجل، وفق مقياس SSVC، حالة الاستغلال الفعلي بأنها غير موجودة (none)، بينما تعد الثغرة قابلة للأتمتة بأثر تقني كلي.
تتوزع معالجات النشرة على مستويين للتصحيح الأمني؛ يضم الأول مستوى 2026-11-01 معالجة 119 ثغرة (8 منها حرجة) في مكونات Runtime وFramework وSystem، ويغطي الثغرة CVE-2026-58868. ويشمل الثاني مستوى 2026-11-05 معالجة 97 ثغرة (15 منها حرجة) في النواة ومكونات Arm وImagination Technologies وMediaTek وUnisoc وQualcomm، ويمثل حزمة شاملة لجميع ثغرات النشرة.
تضم قائمة التهديدات الحرجة ثغرتين إضافيتين في مكون System تتيحان التنفيذ عن بعد، وهما (CVE-2026-58876) و(CVE-2026-58936)، إلى جانب ثلاث ثغرات لرفع الصلاحيات وثغرتين لحجب الخدمة في المكون ذاته. وتسجل النواة ست ثغرات، تتوزع بواقع اثنتين في Bluetooth، وثلاث في pKVM، وواحدة في HID، يضاف إليها ثماني ثغرات في مودم MediaTek، وثغرة في مكون Qualcomm مغلق المصدر.
تضمنت النشرة كذلك الثغرة (CVE-2026-58882) والتي تسبب حجب الخدمة في مكون System، وتنتج عن قراءة خارج الحدود بسبب فيض عددي في الدالة decodeWapPdu داخل الملف WapPushOverSms.java، ما يسبب حجب الخدمة عن بعد دون صلاحيات إضافية أو تفاعل من المستخدم. ويتزامن ذلك مع تقرير للباحث Mark B نُشر في 29 أكتوبر حول ثغرة أطلق عليها SMS of Death ترتبط بالدالة ذاتها، حيث تؤدي رسالة WAP Push مشوهة إلى تعطيل خدمة الهاتف وقطع المكالمات، بما فيها مكالمات الطوارئ. ولم تؤكد Google ارتباط الثغرتين أو توحد العلة بينهما، وهو موضوع تطرقنا إليه سابقاً في خبر عن تعطيل الهواتف عن بعد برسائل نصية صامتة.
تخلو النشرة من أي إشارات لاستغلال فعلي للثغرات المذكورة، ولا توفر حلولاً مؤقتة للأجهزة التي لم تتلق التحديث بعد. وتؤكد Google إبلاغ شركاء منظومة Android بكافة المشكلات قبل شهر على الأقل من النشر، مشيرة إلى أن الأجهزة العاملة بنظام Android 10 أو أحدث مؤهلة لتلقي التحديثات الأمنية. ويمكن للمستخدمين التحقق من مستوى التصحيح الأمني عبر تطبيق الإعدادات، ضمن قسم حول الهاتف ثم إصدار Android، للوصول إلى بند التحديث الأمني وفقاً لتعليمات صفحة المساعدة الرسمية.
