Google mengungkap celah keamanan kritis pada perangkat yang menjalankan Android 14 hingga Android 17. Kerentanan ini berpotensi memungkinkan penyerang menjalankan kode dari jarak jauh tanpa membutuhkan tindakan dari pengguna.
Celah tersebut tercatat dengan kode CVE-2026-58868 dalam buletin keamanan Google November 2026. Pengguna diminta segera memasang pembaruan keamanan Android dengan tingkat patch 2026-11-01 atau yang lebih baru.
Google menyatakan belum mengetahui adanya serangan yang telah mengeksploitasi kerentanan itu hingga 4 November 2026. Meski demikian, perangkat yang belum diperbarui tetap berisiko apabila celah tersebut dimanfaatkan pihak tidak bertanggung jawab.
Secara teknis, CVE-2026-58868 berkaitan dengan penulisan data di luar batas memori atau out-of-bounds write. Kondisi itu terjadi akibat luapan buffer pada area heap dalam fungsi onOutputReceived di file FrameDecoder.cpp.
Google belum memaparkan secara rinci jalur yang dapat digunakan penyerang untuk mencapai bagian kode tersebut. Peringkat kritis diberikan dengan asumsi perlindungan bawaan Android dan layanan Google telah dinonaktifkan atau berhasil dilewati.
Android 12 dan Android 13 tidak tercantum dalam daftar versi yang terdampak CVE-2026-58868. Namun, Google juga tidak menjelaskan secara khusus apakah kedua versi itu sepenuhnya bebas dari kerentanan yang serupa.
Pengguna dapat memeriksa status pembaruan keamanan Android melalui menu Pengaturan di perangkat masing-masing. Informasi tersebut biasanya tersedia pada bagian Tentang Ponsel atau Tentang Tablet, lalu menu Versi Android.
Pada halaman tersebut, pengguna perlu melihat tanggal pembaruan keamanan Android dan pembaruan sistem Google Play. Untuk menangani CVE-2026-58868, tanggal patch keamanan Android harus sudah mencapai 2026-11-01 atau lebih baru.
Tingkat patch 2026-11-01 mencakup perbaikan pada sejumlah komponen Framework, Sistem, dan runtime Android. Sementara patch 2026-11-05 atau yang lebih baru memuat seluruh perbaikan dalam buletin keamanan Google November.
Patch dengan tanggal 2026-11-05 juga mencakup celah pada kernel serta komponen dari Arm, Imagination Technologies, MediaTek, Unisoc, dan Qualcomm. Google menggunakan dua tingkat patch agar produsen dapat menyalurkan perbaikan umum dengan lebih cepat ke perangkat Android.
Sejumlah perbaikan juga bisa hadir melalui pembaruan sistem Google Play pada perangkat Android 10 atau versi lebih baru. Namun, CVE-2026-58868 tidak termasuk dalam daftar perbaikan melalui jalur tersebut.
Artinya, pengguna tidak cukup hanya memeriksa pembaruan sistem Google Play untuk menangani celah ini. Tanggal patch keamanan Android pada perangkat tetap harus diperiksa secara langsung.
Buletin keamanan November 2026 turut mencantumkan CVE-2026-58882 sebagai kerentanan kritis lain. Celah ini berpotensi dipakai untuk serangan penolakan layanan atau denial-of-service dari jarak jauh tanpa interaksi pengguna.
Kerentanan tersebut ditemukan pada fungsi decodeWapPdu, yaitu kode Android yang memproses pesan WAP Push melalui SMS. Sebuah pesan dengan format yang tidak semestinya dilaporkan dapat mengganggu aplikasi com.android.phone.
Gangguan pada aplikasi telepon dapat menyebabkan panggilan yang sedang berlangsung, termasuk panggilan darurat, terputus. Pesan WAP Push yang bermasalah juga dapat diproses ulang ketika perangkat dinyalakan sehingga gangguan berpotensi berulang sampai pesan dihapus.
Google mencatat total 216 kerentanan dalam buletin keamanan November 2026, dengan 23 di antaranya berkategori kritis. Selain CVE-2026-58868, CVE-2026-58876 dan CVE-2026-58936 juga berpotensi memungkinkan eksekusi kode dari jarak jauh pada komponen Sistem Android.
Enam kerentanan kritis lain ditemukan pada kernel, termasuk dua celah yang berada dalam kode Bluetooth. Perbaikan pada patch 2026-11-05 juga mencakup masalah kritis pada kode modem MediaTek dan komponen Qualcomm yang bersifat tertutup.
MediaTek menjelaskan salah satu kerentanan kritis pada modem berkaitan dengan penulisan data di luar batas memori. Perusahaan tersebut menyatakan belum mengetahui adanya eksploitasi aktif terhadap celah modem itu.
