2026年11月のAndroidセキュリティ情報、216件の脆弱性 ～ユーザー操作なしでリモートコード実行のおそれ

2026年11月のAndroidセキュリティ情報が公開

　米Googleは11月2日（現地時間）、Android OSのセキュリティ情報（Android Security Bulletin：ASB）を発表した。25件の脆弱性が修正された10月から一転、今月は216件の脆弱性が修正されている。深刻度が4段階中最高の「Critical」は23件、2番目の「High」は193件。

　なかでももっとも深刻な問題は、「Framework」コンポーネントに存在するリモートコード実行（RCE）の脆弱性「CVE-2026-58868」。追加の実行権限は不要で、ユーザーの操作がなくても悪用が可能とされている。

　なお、今のところ脆弱性が実際に悪用されているという報告はないようだ。

　Android OSのセキュリティ更新プログラムは、リリース月（2026-11）ごとに「01」と「05」という2つのセキュリティパッチレベルに分けられている。「01」はすべてのAndroidデバイスに共通する一部の問題を迅速に修正できるようにしたサブセットで、「05」はそれ以外の問題にも対処した、いわば完全版だ。すべての問題に対処するには、セキュリティパッチレベルが「2026-11-05」以降である必要がある。

セキュリティパッチレベル「2026-11-01」

　「2026-11-01」で修正されたのは119件。「Critical」は8件で、いずれも「System」と「Framework」に集中している。

• Framework：65件（うち「Critical」1件）
• System：53件（うち「Critical」7件）
• Android runtime：1件

　このうち17件は、「Google Play」システムのアップデート（Project Mainline）経由でも配信される。Android 10以降の対応デバイスでは、セキュリティ更新プログラムに加えて「Google Play」システムアップデートも受け取れる。

セキュリティパッチレベル「2026-11-05」

　「2026-11-05」では、「2026-11-01」の修正に加えて97件に対処する。カーネルとハードウェアベンダー由来のコンポーネントが占めている。

• Kernel components：31件（うち「Critical」6件）
• MediaTek components：30件（うち「Critical」8件）
• Imagination Technologies：12件
• Qualcomm components：9件
• Qualcomm closed-source components：8件（うち「Critical」1件）
• Unisoc components：4件
• Arm components：3件

　修正が反映されるAOSPのバージョンは、Android 14/15/16/16-QPR2/17。パッチは公開から48時間以内にAOSPリポジトリへ反映される予定で、その後、本セキュリティ情報にAOSPへのリンクが追記される。

　なお、同社はセキュリティ情報の公開より1カ月以上前に、Androidのパートナー企業へすべての問題を通知しているという。各デバイスへの更新の提供有無や時期は、メーカーによって異なる。メーカーからパッチが提供され次第、速やかに適用したい。