Android 14-17’de kullanıcı etkileşimsiz RCE açığı için yama çıktı
Android RCE açığı CVE-2026-58868, Android 14-17 sürümlerini etkiliyor. 2026-11-01 security patch level ile kapanıyor; kontrol adımları burada.
Bu haberde
Google, Kasım güvenlik bülteninde Android 14 ile 17 arasındaki sürümleri etkileyen Critical seviyeli bir Android RCE açığını kapattı. CVE-2026-58868, saldırganın kullanıcı hiçbir şey yapmadan telefonda uzaktan kod çalıştırabileceği bir RCE (Remote Code Execution) açığı ve 2026-11-01 veya sonraki security patch level ile düzeliyor. Bültende toplam 216 açık var, bunların 23’ü Critical.
Android security patch level nedir, ne işe yarar?
Android security patch level, bir Android cihazın hangi aylık güvenlik bültenindeki yamaları içerdiğini gösteren tarih değeridir. Ayarlar menüsünde Android security update olarak görünür. Telefon üreticileri ve operatörler bu yamaları kendi takvimleriyle dağıtır, bu yüzden aynı Android sürümündeki iki cihazın patch level’ı farklı olabilir. Kurumsal cihaz yönetiminde uyumluluk ölçütü olarak kullanılır.
Açık, FrameDecoder.cpp dosyasındaki onOutputReceived fonksiyonunda heap buffer overflow kaynaklı bir out-of-bounds write. Saldırganın bu koda hangi yoldan ulaştığını bülten de CVE kaydı da açıklamıyor. Saldırı yüzeyini bilmediğiniz için ağda bir önlem kuramazsınız; tek çare yama.
Android RCE açığında hangi tarihe bakmalı
Android 14 ile 17 arası etkileniyor. Android 12 ve 13 listede yok, fakat Google bu sürümlerin kodu içerip içermediğini söylemiyor. Bu Android RCE açığı Google Play system update listesinde yer almıyor, bu yüzden kontrol edeceğiniz alan Android security update tarihi. 2026-11-01 bu açığı kapatıyor; kernel, Bluetooth ve çip üreticisi bileşenlerindeki Critical açıklar için 2026-11-05 gerekiyor.
Exploit durumu ve SMS
Google 4 Kasım itibarıyla saldırı bildirmedi, CISA KEV kataloğunda da hiçbiri yok. Critical derecesi, Android korumalarının kapalı veya aşılmış olduğunu varsayıyor.
CVE-2026-58882 daha yakın bir risk taşıyabilir. Aynı decodeWapPdu fonksiyonundaki bir hata için public PoC var; saldırgana telefon numarası yetiyor ve aktif çağrı, acil aramalar dahil, kesiliyor. Bülten bu iki hatanın aynı olup olmadığını söylemiyor.
Yapılacaklar
- Ayarlar > Telefon hakkında > Android sürümü yolundan security patch level’ı okuyun.
- Elinizdeki test veya şirket cihazlarında adb ile toplu bakabilirsiniz:
adb shell getprop ro.build.version.security_patch- Hedefi 2026-11-01 değil, 2026-11-05 olarak koyun.
- Güncelleme alamayan cihazları envanterde ayırın; bülten geçici azaltma vermiyor.
- On-call telefonları için SMS kaynaklı çağrı kesilmesine karşı ikinci bir uyarı kanalı tanımlayın.
CVE kaydı: CVE-2026-58868
