グーグルの11月セキュリティ速報は200以上の脆弱性を修正し、重要なゼロクリック遠隔コード実行の欠陥を含み、Androidユーザーは早急にアップグレードする必要がある

BlockBeatsのニュース、11月5日、Googleは最近2026年11月のAndroidセキュリティ公告を発表し、累計200以上の脆弱性を修正した。その中で最も深刻なのはFrameworkコンポーネントのCVE-2026-58868（Critical）で、ヒープバッファオーバーフローによる境界外書き込みの脆弱性であり、FrameDecoder.cppのonOutputReceived関数に存在する。

この脆弱性により、攻撃者はユーザーの操作や追加の権限を必要とせずにリモートで任意のコードを実行でき、典型的なゼロクリック（Zero-Click）攻撃に該当する。悪用に成功すると、攻撃者は影響を受けるデバイスを完全に制御できる可能性がある。現在、Googleは野生での悪用を確認しておらず、公開された概念実証（PoC）も見られない。影響を受けるバージョンにはAndroid 14、15、16、16 QPR2および17が含まれる。パッチは2つのレベルで配信される：

· セキュリティパッチレベル ≥ 2026-11-01：CVE-2026-58868などのFrameworkおよびSystemコンポーネントの修正を含む；

· セキュリティパッチレベル ≥ 2026-11-05：今回のすべての脆弱性をカバーし、カーネルおよびMediaTek、Qualcommなどのチップ層の問題を含む。

SlowMistのCISO 23pds氏は、この脆弱性が野生で悪用された場合、影響は極めて深刻になると述べた。世界のスマートフォンにおいてAndroidデバイスは約7割を占めており、大規模に悪用されれば広範なデバイスの侵害を引き起こす可能性がある。ユーザーは直ちにシステムを確認・アップグレードすることを推奨する：「設定 → 端末情報 → Androidバージョン」に進み、「セキュリティパッチレベル」が2026-11-05以上に達しているか確認すること。デバイスメーカーによる配信時期には差異がある可能性があるため、完全なパッチレベルへのアップグレードを優先することを推奨する。