Android corrige RCE zero-click CVE-2026-58868; mais de 40% dos aparelhos sem correção
O boletim de novembro de 2026 do Android corrige mais de 200 vulnerabilidades, entre elas a mais grave, CVE-2026-58868: execução remota de código crítica no Framework, sem interação do usuário. A falha é um estouro de buffer de heap na função onOutputReceived (FrameDecoder.cpp), afeta Android 14 a 17 e está corrigida no nível de patch 2026-11-01 ou posterior; não há PoC pública nem ataques confirmados. Segundo dados do Google, mais de 40% dos aparelhos rodam versões antigas demais para a correção; leve os dispositivos gerenciados ao nível 2026-11-05 ou posterior.
O que aconteceu
O Google corrigiu uma falha crítica no Android, a CVE-2026-58868, que permite execução remota de código em celulares sem nenhuma interação do usuário. A correção entrou no boletim de novembro de 2026, que fecha mais de 200 vulnerabilidades. O Google não marcou a falha como explorada e não há ataques confirmados.
Por que importa
Falha desse tipo permite que um atacante assuma o controle do aparelho sem a vítima tocar na tela, expondo dados corporativos em celulares usados para trabalho. O risco persiste porque, segundo dados do próprio Google, mais de 40% dos aparelhos Android rodam versões antigas demais para receber a correção.
O que fazer
Exija nível de patch de segurança 2026-11-05 ou posterior em todos os aparelhos Android gerenciados, pois cobre todos os problemas do boletim. Identifique dispositivos que não podem mais receber atualizações e avalie atualizá-los ou trocá-los.
Para o time técnico
- CVE
- CVE-2026-58868
- Afetados
- Google Android (atualizações de segurança de novembro de 2026) · Android 14, 15, 16, 16 QPR2 e 17 (lista do @DarkWebInformer).
- Exploração
- Sem PoC pública e sem ataques confirmados na natureza, segundo o @DarkWebInformer; o Google não marcou a falha como explorada, segundo a SecurityWeek.
- Correção
- Nível de patch de segurança 2026-11-01 ou posterior corrige a CVE-2026-58868 (@DarkWebInformer). O Google afirma que o nível 2026-11-05 ou posterior cobre todos os problemas do boletim.
- Vetor
- Componente Framework do Android. Estouro de buffer de heap (gravação fora dos limites) na função onOutputReceived, em FrameDecoder.cpp, ao processar quadros de mídia. A exploração não exige privilégios adicionais nem interação do usuário (zero-click).
- Mais detalhes
- Boletim de novembro de 2026 corrige mais de 200 vulnerabilidades, incluindo duas dúzias críticas: 119 no nível 2026-11-01 (Android runtime, Framework, System) e 97 no 2026-11-05 (Kernel, Arm, Imagination Technologies, MediaTek, Unisoc, Qualcomm). Framework recebeu 65 correções, System 53. O Google já havia entregue 17 correções via Google Play system updates antes do ciclo mensal. CVSS ainda não atribuído à CVE-2026-58868. O Google também publicou boletins para Android XR e Wear OS.
Linha do tempo
Post detalha a causa do CVE-2026-58868: estouro de buffer de heap na função onOutputReceived (FrameDecoder.cpp), e lista Android 14 a 17 como afetados, com correção no nível de patch de segurança 2026-11-01.
Novo post identifica a falha crítica como CVE-2026-58868 e acrescenta que mais de 40% dos aparelhos Android rodam versões antigas demais para a correção.
Primeiro relato: boletim de novembro do Android corrige mais de 200 vulnerabilidades, incluindo RCE crítica sem interação do usuário.
Fontes 3 fontes
- Android's November 2026 Updates Patch Over 200 Vulnerabilities SecurityWeek
- @IntCyberDigest @IntCyberDigest
- @DarkWebInformer @DarkWebInformer
