Čo sa stalo
Google 2. novembra 2026 zverejnil novembrový bezpečnostný bulletin pre Android. Najzávažnejšou chybou v ňom je CVE-2026-58868 v súčasti Framework, teda v základnej vrstve systému, na ktorej stavajú aplikácie. Google ju hodnotí ako kritickú.
Chyba je v súbore FrameDecoder.cpp, kde môže program zapísať údaje mimo vyhradenej časti pamäte. Podľa Googlu by to mohlo viesť k spusteniu cudzieho kódu na diaľku, bez ďalších oprávnení a bez toho, aby používateľ čokoľvek urobil.
Zneužitie zatiaľ nikto nepotvrdil. Podľa The Hacker News bulletin k 4. novembru 2026 nehlásil žiadne útoky a chyba nebola ani v katalógu CISA KEV pri jeho aktualizácii z 3. novembra 2026. Európska databáza zraniteľností EUVD ju eviduje pod označením EUVD-2026-115598, tiež bez informácie o zneužívaní.
Novembrový bulletin obsahuje podľa The Hacker News spolu 216 zraniteľností, z toho 23 kritických. Tento článok sa venuje chybe CVE-2026-58868.
Prečo je to nebezpečné
Ide o pretečenie vyrovnávacej pamäte na halde (heap buffer overflow). Predstavte si poličku s presne desiatimi priečinkami. Ak do nej niekto natlačí dvanásť dokumentov, posledné dva skončia v susednej poličke a prepíšu, čo tam bolo. V počítači takto prepísaná pamäť môže spôsobiť pád aplikácie a v horšom prípade ju útočník dokáže využiť na spustenie vlastného kódu.
Podľa Googlu útočník nepotrebuje žiadne ďalšie oprávnenia a používateľ nemusí nič otvárať ani potvrdzovať. Google ani záznam CVE však neuvádzajú, akou cestou by sa útočník k zraniteľnému kódu dostal. Nevieme teda, či by stačilo napríklad poslať súbor alebo správu.
Hodnotenie „kritická“ Google podľa vlastného vysvetlenia určuje za predpokladu, že ochranné mechanizmy Androidu a služieb Google sú vypnuté alebo ich útočník obišiel. Tieto ochrany útok v praxi sťažujú, no nie je rozumné spoliehať sa len na ne.
Ak by útok uspel, útočník by mohol spustiť v telefóne vlastný kód. Google neuvádza, s akými oprávneniami by tento kód bežal, ani k akým údajom by sa dostal. Firemný telefón však často obsahuje e-maily, kontakty a prístupy k firemným službám, preto opravu neodkladajte.
CVSS je stupnica od 0 do 10, ktorá vyjadruje technickú závažnosť chyby. Záznam v NVD zatiaľ pre túto chybu skóre CVSS neuvádza. EPSS je odhad pravdepodobnosti, že chybu niekto zneužije v najbližších 30 dňoch. K 3. novembru 2026 je pre túto chybu 0,21 %, teda veľmi nízky. Katalóg CISA KEV je zoznam chýb, ktoré americký úrad CISA eviduje ako reálne zneužívané, a táto chyba v ňom nie je.
Koho sa to týka
Chyba sa týka zariadení s Androidom 14, 15, 16, 16-qpr2 a 17, ktoré ešte nemajú úroveň bezpečnostnej opravy z 1. novembra 2026 alebo novšiu. Označenie 16-qpr2 je štvrťročná aktualizácia Androidu 16.
Vo firme ide najmä o služobné telefóny a tablety, osobné telefóny zamestnancov s prístupom k firemnej pošte a tiež o zariadenia s Androidom, ako sú terminály, skenery či kiosky, ak bežia na niektorej z uvedených verzií.
Android 12 a 13 Google medzi dotknutými verziami neuvádza. Podľa The Hacker News však záznamy Googlu nehovoria, či tieto verzie chybu obsahujú. Staršie verzie navyše často už nedostávajú aktualizácie, čo je samo osebe riziko.
Ako zistiť, či ste zasiahnutí
Na telefóne otvorte Nastavenia, ťuknite na Informácie o telefóne (alebo o tablete) a potom na Verzia Androidu. Nájdete tam dátum aktualizácie zabezpečenia Androidu a dátum systémovej aktualizácie Google Play. Názvy položiek sa môžu podľa výrobcu mierne líšiť.
Rozhoduje dátum aktualizácie zabezpečenia Androidu. Ak je 1. novembra 2026 alebo neskorší, zariadenie je proti CVE-2026-58868 chránené. Dátum systémovej aktualizácie Google Play pri tejto chybe nerozhoduje.
Pri väčšom počte zariadení zobrazí verziu Androidu a úroveň opravy zvyčajne aj vaša konzola MDM. Správca môže údaje zistiť aj cez kábel nástrojom adb, ak má zariadenie zapnuté ladenie cez USB. Tieto príkazy údaje len čítajú:
adb shell getprop ro.build.version.release
adb shell getprop ro.build.version.security_patchPrvý príkaz vráti verziu Androidu, druhý dátum úrovne bezpečnostnej opravy v tvare rok-mesiac-deň.
Ako to opraviť
Chybu opravuje úroveň bezpečnostnej opravy z 1. novembra 2026 alebo novšia. Úroveň z 5. novembra 2026 pokrýva všetky chyby z novembrového bulletinu vrátane chýb v jadre a v súčastiach od výrobcov čipov. Aktualizácie však rozosielajú výrobcovia telefónov a operátori podľa vlastného harmonogramu, takže na niektoré zariadenia prídu neskôr.
- Spíšte firemné zariadenia s Androidom a zistite ich verziu a úroveň opravy.
- Na zariadení otvorte v Nastaveniach časť Systém alebo Aktualizácia softvéru a vyhľadajte aktualizácie.
- Nainštalujte dostupnú aktualizáciu a zariadenie reštartujte.
- Po reštarte overte, že dátum aktualizácie zabezpečenia je 1. novembra 2026 alebo neskorší.
- V MDM nastavte pravidlo, ktoré upozorní na zariadenia so starou úrovňou opravy alebo im obmedzí prístup k firemným dátam.
Postupujte od najcitlivejších zariadení: najprv telefóny vedenia, účtovníctva a správcov IT, potom zariadenia s prístupom k firemnej pošte a systémom, nakoniec ostatné.
Google pre zariadenia, ktoré aktualizáciu zatiaľ nemôžu nainštalovať, neuvádza žiadne dočasné riešenie. Nechajte zapnutú službu Google Play Protect, ktorú Google uvádza medzi ochrannými mechanizmami, a neinštalujte aplikácie mimo Google Play. Ak výrobca pre konkrétny model už aktualizácie nevydáva, zvážte jeho výmenu.
Čo ak už ste mohli byť napadnutí
Google ani The Hacker News nezverejnili indikátory napadnutia ani správy o útokoch. Napadnutie preto nie je pravdepodobné, ale vylúčiť sa nedá. Pri podozrení sa pozrite na:
- neznáme aplikácie, najmä s oprávneniami správcu zariadenia alebo dostupnosti
- neočakávané prihlásenia do firemných účtov z neznámych miest alebo zariadení
- upozornenia Google Play Protect alebo bezpečnostného nástroja v MDM
- nezvyčajnú spotrebu dát či batérie a opakované pády aplikácií
Ak niečo z toho nájdete, odpojte zariadenie od firemných služieb a z iného, čistého zariadenia zmeňte heslá a zrušte aktívne prihlásenia. Pri podozrení na únik firemných dát alebo ak ide o telefón človeka so širokými prístupmi, prizvite odborníka na bezpečnosť mobilných zariadení.