Co se stalo
Google 2. listopadu 2026 zveřejnil listopadový bezpečnostní bulletin pro Android. Nejzávažnější chybou v něm je CVE-2026-58868 v komponentě Framework, tedy v základní vrstvě systému, na které stojí aplikace. Google ji hodnotí jako kritickou.
Chyba se nachází v souboru FrameDecoder.cpp, kde může program zapsat data mimo vyhrazenou část paměti. Podle Googlu by to mohlo vést ke spuštění cizího kódu na dálku, bez dalších oprávnění a bez toho, aby uživatel cokoli udělal.
Zneužití zatím nikdo nepotvrdil. Podle The Hacker News bulletin k 4. listopadu 2026 nehlásil žádné útoky a chyba nebyla ani v katalogu CISA KEV při jeho aktualizaci z 3. listopadu 2026. Evropská databáze zranitelností EUVD ji eviduje pod označením EUVD-2026-115598, rovněž bez informace o zneužívání.
Listopadový bulletin podle The Hacker News obsahuje celkem 216 zranitelností, z toho 23 kritických. Tento článek se věnuje chybě CVE-2026-58868.
Proč je to nebezpečné
Jde o přetečení vyrovnávací paměti na haldě (heap buffer overflow). Představte si polici s přesně deseti přihrádkami. Když do ní někdo nacpe dvanáct šanonů, poslední dva skončí v sousední polici a přepíšou, co tam bylo. V počítači takto přepsaná paměť může způsobit pád aplikace a v horším případě ji útočník dokáže využít ke spuštění vlastního kódu.
Podle Googlu útočník nepotřebuje žádná další oprávnění a uživatel nemusí nic otevírat ani potvrzovat. Google ani záznam CVE ale neuvádějí, jakou cestou by se útočník ke zranitelnému kódu dostal. Nevíme tedy, zda by stačilo třeba poslat soubor nebo zprávu.
Hodnocení „kritická“ Google podle vlastního vysvětlení určuje za předpokladu, že ochranné mechanismy Androidu a služeb Google jsou vypnuté nebo je útočník obešel. Tyto ochrany útok v praxi ztěžují, ale spoléhat jen na ně není rozumné.
Pokud by útok uspěl, útočník by mohl v telefonu spustit vlastní kód. Google neuvádí, s jakými oprávněními by tento kód běžel, ani k jakým datům by se dostal. Firemní telefon ale často obsahuje e-maily, kontakty a přístupy k firemním službám, proto opravu neodkládejte.
CVSS je stupnice od 0 do 10, která vyjadřuje technickou závažnost chyby. Záznam v NVD zatím pro tuto chybu skóre CVSS neuvádí. EPSS je odhad pravděpodobnosti, že chybu někdo zneužije v příštích 30 dnech. K 3. listopadu 2026 je pro tuto chybu 0,21 %, tedy velmi nízký. Katalog CISA KEV je seznam chyb, které americký úřad CISA eviduje jako skutečně zneužívané, a tato chyba v něm není.
Koho se to týká
Chyba se týká zařízení s Androidem 14, 15, 16, 16-qpr2 a 17, která ještě nemají úroveň bezpečnostní opravy z 1. listopadu 2026 nebo novější. Označení 16-qpr2 je čtvrtletní aktualizace Androidu 16.
Ve firmě jde hlavně o služební telefony a tablety, soukromé telefony zaměstnanců s přístupem k firemní poště a také o zařízení s Androidem, jako jsou terminály, čtečky nebo kiosky, pokud běží na některé z uvedených verzí.
Android 12 a 13 Google mezi dotčenými verzemi neuvádí. Podle The Hacker News ale záznamy Googlu neříkají, zda tyto verze chybu obsahují. Starší verze navíc často už nedostávají aktualizace, což je samo o sobě riziko.
Jak zjistit, zda jste zasaženi
V telefonu otevřete Nastavení, klepněte na Informace o telefonu (nebo o tabletu) a poté na Verze Androidu. Najdete tam datum aktualizace zabezpečení Androidu a datum systémové aktualizace Google Play. Názvy položek se mohou podle výrobce mírně lišit.
Rozhoduje datum aktualizace zabezpečení Androidu. Pokud je 1. listopadu 2026 nebo pozdější, zařízení je proti CVE-2026-58868 chráněné. Datum systémové aktualizace Google Play u této chyby nerozhoduje.
U většího počtu zařízení zobrazí verzi Androidu a úroveň opravy obvykle i vaše konzole MDM. Správce může údaje zjistit také přes kabel nástrojem adb, pokud má zařízení zapnuté ladění přes USB. Tyto příkazy data pouze čtou:
adb shell getprop ro.build.version.release
adb shell getprop ro.build.version.security_patchPrvní příkaz vrátí verzi Androidu, druhý datum úrovně bezpečnostní opravy ve tvaru rok-měsíc-den.
Jak to opravit
Chybu opravuje úroveň bezpečnostní opravy z 1. listopadu 2026 nebo novější. Úroveň z 5. listopadu 2026 pokrývá všechny chyby z listopadového bulletinu včetně chyb v jádře a v komponentách od výrobců čipů. Aktualizace ale rozesílají výrobci telefonů a operátoři podle vlastního harmonogramu, takže na některá zařízení dorazí později.
- Sepište firemní zařízení s Androidem a zjistěte jejich verzi a úroveň opravy.
- V zařízení otevřete v Nastavení část Systém nebo Aktualizace softwaru a vyhledejte aktualizace.
- Nainstalujte dostupnou aktualizaci a zařízení restartujte.
- Po restartu ověřte, že datum aktualizace zabezpečení je 1. listopadu 2026 nebo pozdější.
- V MDM nastavte pravidlo, které upozorní na zařízení se starou úrovní opravy nebo jim omezí přístup k firemním datům.
Postupujte od nejcitlivějších zařízení: nejdřív telefony vedení, účtárny a správců IT, potom zařízení s přístupem k firemní poště a systémům, nakonec ostatní.
Google pro zařízení, která aktualizaci zatím nemohou nainstalovat, neuvádí žádné dočasné řešení. Nechte zapnutou službu Google Play Protect, kterou Google uvádí mezi ochrannými mechanismy, a neinstalujte aplikace mimo Google Play. Pokud výrobce pro konkrétní model už aktualizace nevydává, zvažte jeho výměnu.
Co když už jste mohli být napadeni
Google ani The Hacker News nezveřejnili indikátory napadení ani zprávy o útocích. Napadení proto není pravděpodobné, ale vyloučit se nedá. Při podezření se podívejte na:
- neznámé aplikace, zejména s oprávněními správce zařízení nebo přístupnosti
- neočekávaná přihlášení do firemních účtů z neznámých míst nebo zařízení
- upozornění Google Play Protect nebo bezpečnostního nástroje v MDM
- neobvyklou spotřebu dat či baterie a opakované pády aplikací
Pokud něco z toho najdete, odpojte zařízení od firemních služeb a z jiného, čistého zařízení změňte hesla a zrušte aktivní přihlášení. Při podezření na únik firemních dat nebo pokud jde o telefon člověka s širokými přístupy, přizvěte odborníka na bezpečnost mobilních zařízení.