Google, Kasım 2026 Android Güvenlik Bülteni'ni 2 Kasım'da yayımladı ve bu, son dönemin daha büyük bültenlerinden biri: eSecurity Planet'in sayımına göre 216 açık, kabaca iki düzinesi kritik. İki ayrı yama seviyesine bölünmesi de hikâyenin parçası.
İlk grup, 2026-11-01 yama seviyesi, Framework, System ve Runtime genelinde 119 sorunu kapatıyor — 65'i Framework, 53'ü System, biri Android Runtime. İkincisi, 2026-11-05 yama seviyesi, Linux çekirdeği ile Arm, Imagination Technologies, MediaTek, Unisoc ve Qualcomm bileşenlerinde 97 sorunu daha kapsıyor. 2026-11-05 ve üzeri cihazlar bültendeki her düzeltmeyi taşır; 2026-11-01 yalnızca ilk yarıyı ve önceki bültenleri kapsar.
Asıl önemli olan: CVE-2026-58868
En kötüsü Framework tarafında: CVE-2026-58868, Android hata kimliği A-486464711. Google'ın ifadesi alışıldık ama yine de dikkat çekici: ek yürütme ayrıcalığı gerektirmeden uzaktan kod yürütmeye yol açabilecek kritik bir açık ve "istismar için kullanıcı etkileşimi gerekmiyor." Android 14, 15, 16, 16-qpr2 ve 17 etkileniyor.
Aviatrix'in teknik incelemesi nedeni `FrameDecoder.cpp` içindeki `onOutputReceived` fonksiyonunda bir heap taşmasına yerleştiriyor — yani birinin açması gereken bir uygulamada değil, gelen çerçevelerin işlenmesinde. Bu analiz kamuya açık bir exploit listelemiyor; kritik notu gözlenen kötüye kullanımı değil olası etkiyi yansıtıyor.
System bileşeninde iki kritik uzaktan kod yürütme açığı daha var: CVE-2026-58876 ve CVE-2026-58936. Bunların yanında bültende System'de kritik yetki yükseltmeler (CVE-2026-55275, CVE-2026-55283, CVE-2026-58984), çekirdeğin korumalı sanal makine katmanında — pKVM, CVE-2026-59044 ve CVE-2026-59045 —, Bluetooth'da (CVE-2026-53256, CVE-2026-89774) ve HID işlemede (CVE-2026-80604) kritikler yer alıyor. Yonga bölümlerinin kendi kritikleri var: yedi MediaTek modem açığı (CVE-2026-20499 ile CVE-2026-20545–CVE-2026-20549 arası dahil) ve Qualcomm'un kapalı kaynak bileşeni CVE-2026-25285.
'Ölüm SMS'i' bültende yine var
Ayrıca anılmayı hak eden CVE-2026-58882, "Ölüm SMS'i" takma adlı kritik hizmet engelleme açığı. WAP Push SMS işlemesinde — özellikle `decodeWapPdu` — yaşıyor ve yalnızca hedefin telefon numarasıyla telefon sürecini çökertebiliyor; etkileşim yok, acil çağrılar dahil sürmekte olan görüşmeler kesiliyor ve çökme yeniden başlatmalar boyunca sürüyor. Bağımsız araştırmacı Mark Blaszczyk açığı Mayıs'ta Google'a bildirdikten sonra 29 Ekim'de kamuya açıkladı ve bir kanıt-kod dolaşıyor. Google Ekim'de bir düzeltme sinyali vermişti, ama açık Kasım bülteninde de görünüyor; bu, daha önce yama almış cihazların açık kaldığını kanıtlamaz, ama yama seviyesini varsaymak yerine kontrol etmeye değer kılar.
Aviatrix ayrıca Android 12 ve 13 cihazların aynı savunmasız kodu taşıdığını ama destek penceresinin dışında kaldığını savunuyor; bu cihazlar için üretici yaması yok. Bu Google'ın bülteninin değil bir üçüncü tarafın değerlendirmesi, ama ayın geri kalanının gösterdiği yapısal sorunla örtüşüyor.
Samsung kendi paketini çıkarıyor, geri kalanı zaman alıyor
Samsung, SammyGuru üzerinden aktarıldığına göre 206 düzeltmeden oluşan kendi Kasım paketini yayımladı: Google'dan 178 Android düzeltmesi, dört yarı iletken düzeltmesi ve 24 kendi açığı; kapsam bootloader, kamera filtre eklentileri, Kişiler, Telefon, Mesajlar ve SIM kilidi. Kesin bir dağıtım takvimi yok; kullanılabilirlik model, operatör ve bölgeye bağlı.
Asıl risk bu boşlukta. Yamanın var olması, yamanın kurulması demek değil. Google'ın yayımı ile güncellemenin bir cihaza ulaşması arasında çoğu üreticide haftalar ya da aylar var ve kullanıcı etkileşimi gerektirmeyen kritik bir açık için bu pencere doğrudan saldırı yüzeyi. Filo yönetenler için pratik yanıt: güncelleme tarihine değil yama seviyesine bakmak, e-posta ve kurumsal uygulamalara erişen cihazları öncelemek ve araçlar izin veriyorsa MDM politikasında asgari yama seviyesi zorunlu kılmak.
Cihazın kendisinde test basit: `ro.build.version.security_patch` değeri 2026-11-01 ya da daha yeni, tercihen 2026-11-05 olmalı. Pixel'de Ayarlar → Sistem → Sistem güncellemesi, Samsung'da Ayarlar → Yazılım güncellemesi → İndir ve yükle yolunda. Değer bulunamıyorsa ya da cihaz artık güncelleme almıyorsa, bir sonraki etkileşimsiz kritik gelmeden önce bunu tartmakta fayda var.
