Telefonunuz güncel mi? Android güvenlik yaması düzeyi nedir, nasıl kontrol edilir?

29 Ekim’de bir güvenlik araştırmacısı, “SMS of Death” adını verdiği bir Android açığının ayrıntılarını yayımladı. Özel hazırlanmış tek bir SMS, kullanıcı hiçbir şey yapmadan telefonun şebeke işlemini çökertiyor ve süren aramaları kesiyordu. Google açığı 2 Kasım’da yayımladığı Kasım 2026 Android güvenlik bülteninde CVE-2026-58882 numarasıyla, kritik önemde listeledi.

Bu haberi okuyan herkesin aklına aynı soru gelir: Benim telefonum korunuyor mu? Cevap telefonun ayarlarında, tek bir tarihte yazıyor. Ama o tarihi doğru okumak için Android güncellemelerinin nasıl çalıştığını biraz bilmek gerekiyor. Aynı açık için bir telefon Kasım’ın ilk günlerinde korunmaya başlarken, bir başkası hiçbir zaman düzeltme almayabiliyor. Araştırmacıya göre SMS of Death’e karşı Android 12 ve 13 çalıştıran telefonlar için düzeltme yayımlanmadı.

Güvenlik yaması düzeyi ne demek?

Google her ayın başında bir Android güvenlik bülteni yayımlıyor. Bültende o ay kapatılan açıklar, etkiledikleri bileşen ve önem dereceleriyle listeleniyor. Her bültene bir de tarih eşlik ediyor: güvenlik yaması düzeyi (security patch level). Telefonunuzun ayarlarında “1 Kasım 2026” ya da “5 Kasım 2026” gibi görünen tarih bu.

Bu tarih, telefonun en son ne zaman güncellendiğini göstermiyor. Google’ın bültenine göre bu tarih, cihazın o tarihe ait bütün düzeltmeleri ve önceki bültenlerde bildirilen bütün düzeltmeleri içerdiğini gösteriyor. Yani yama düzeyi 1 Kasım 2026 olan bir telefon, Kasım bülteninin ilk bölümündeki açıklara ve ondan önceki bütün bültenlerdeki açıklara karşı korunuyor olmalı.

Her ayın neden iki tarihi var?

Bültenlerde her ay iki yama düzeyi bulunuyor, ayın 1’i ve ayın 5’i. Google bunu, Android iş ortaklarının bütün Android cihazlarda ortak olan açıkları daha hızlı kapatabilmesi için yaptığını söylüyor.

• Ayın 1’i (örneğin 2026-11-01): Android’in kendi kodundaki açıkları kapsıyor. Kasım bülteninde bu düzeyde Framework, System ve Android çalışma zamanı (runtime) bileşenlerinde toplam 119 açık var. SMS of Death de bu düzeyde.
• Ayın 5’i (örneğin 2026-11-05): İlk düzeyin üstüne çekirdek ve yonga üreticisi bileşenlerindeki açıkları da ekliyor. Kasım bülteninde bu ek bölümde 97 açık var. Bunların arasında çekirdekteki 6 kritik açık ve MediaTek modemlerindeki 8 kritik açık bulunuyor.

Bu ayrımın pratik bir sonucu var. Ayarlarında “1 Kasım 2026” yazan bir telefon, SMS of Death’e karşı korunuyor, ama aynı ayın çekirdek ve modem düzeltmelerini henüz almamış olabilir. Google’a göre iş ortaklarının bültendeki bütün sorunları düzeltip en son yama düzeyini kullanması öneriliyor.

Telefonunuzda nereden bakılır?

Google’ın Android yardım sayfasına göre:

1. Ayarlar uygulamasını açın.
2. Telefon hakkında bölümüne, ardından Android sürümü’ne dokunun.
3. Burada Android sürümünü, Android güvenlik güncellemesi tarihini, Google Play sistem güncellemesi tarihini ve derleme numarasını göreceksiniz.

Samsung telefonlarda Samsung’un Türkiye destek sayfasına göre yol Ayarlar > Telefon hakkında > Yazılım bilgileri. Samsung, menünün cihaz modeline ve yazılım sürümüne göre değişebileceğini belirtiyor.

Güncelleme olup olmadığını kontrol etmek için Google Ayarlar > Sistem > Yazılım güncellemeleri yolunu gösteriyor. Samsung’da yol Ayarlar > Yazılım Güncelleme > Güncellemeleri denetle. Samsung, güncellemelerin kendiliğinden inmesi için “Wi-Fi üzerinden otomatik indir” seçeneğinin açık tutulmasını öneriyor.

Google’ın birkaç pratik notu da var:

• Güncellemeler büyük olabiliyor. Başlamadan önce Wi-Fi’a bağlanın ve telefonu en az yüzde 75 şarj edin.
• Çoğu sistem güncellemesi ve güvenlik yaması kendiliğinden kuruluyor. İndirme yarım kalırsa telefon sonraki birkaç gün içinde tekrar deniyor.
• Pixel telefonlar güncellemeyi arka planda kuruyor ve güncelleme telefon yeniden başlatılınca devreye giriyor. Birçok başka Android telefon ise kurulum sırasında kendiliğinden yeniden başlıyor ve güncelleme kurulum bitince devreye giriyor.
• Google’a göre en son güvenlik güncellemesini almak için, telefon için yayımlanmış en son Android sürümünün kurulu olması gerekiyor.

Tarihi okurken telefonun hangi takvimle güncellendiğini de bilmek gerekiyor. Kasım 2026 itibarıyla en yeni yama düzeyi 2026-11-05. Ama Samsung’un listesine göre örneğin Galaxy A serisinin birçok modeli üç ayda bir güvenlik güncellemesi alıyor. Bu telefonlarda iki üç ay önceki bir tarih görmek, güncellemenin unutulduğu anlamına gelmeyebilir.

Bülten çıktı, güncelleme neden hemen gelmiyor?

Google’ın bülteni yayımlaması, düzeltmenin telefonlara ulaştığı anlamına gelmiyor. Bir düzeltme telefona ulaşana kadar birkaç durak geçiyor:

1. Google iş ortaklarını önceden haberdar ediyor. Google’a göre Android iş ortakları bültendeki bütün sorunlardan bülten yayımlanmadan en az bir ay önce haberdar ediliyor.
2. Google bülteni yayımlıyor. Kasım bülteni 2 Kasım’da çıktı. Google kaynak kodu yamalarını bültenden sonraki 48 saat içinde Android Açık Kaynak Projesi’nde (AOSP) yayımlayacağını belirtiyor.
3. Üretici kendi güncellemesini hazırlıyor. Samsung gibi üreticiler Google’ın düzeltmelerini kendi yazılımlarına ekleyip kendi açıklarının düzeltmeleriyle birlikte kendi bültenlerini yayımlıyor. Google’a göre üreticiler kendi ürünlerine özel açıkların ayrıntılarını ayrıca yayımlayabiliyor.
4. Operatör ve bölge devreye giriyor. Google’a göre güncelleme takvimi cihaza, üreticiye ve mobil operatöre göre değişiyor.
5. Güncelleme aşama aşama dağıtılıyor. Google’a göre Pixel güncellemeleri bile aşamalı dağıtılıyor ve telefona ulaşması birkaç hafta sürebiliyor.

Samsung’un güvenlik güncellemeleri sayfası bu gecikmelerin nereden geldiğini açıkça yazıyor. Samsung’a göre:

• Güvenlik yamalarının ulaşma zamanı bölgeye ve modele göre değişebiliyor.
• Bazı operatörler, aylık güncelleme alan modellerde bile yalnızca üç aylık güncellemeleri destekleyebiliyor.
• Yonga üreticilerinden gelen bazı yamalar o ayın paketine yetişmeyebiliyor ve hazır olunca sonraki paketlere ekleniyor.
• Büyük Android sürüm yükseltmeleri planlanan güvenlik güncellemelerini geciktirebiliyor, ama Samsung’a göre yükseltme geldiğinde güncel yamaları da içeriyor.

Google Play sistem güncellemesi ayrı bir şey

Ayarlardaki ikinci tarih olan “Google Play sistem güncellemesi” çoğu zaman güvenlik güncellemesiyle karıştırılıyor. İkisi farklı yollardan geliyor ve farklı şeyleri güncelliyor.

Android 10 ile gelen Mainline sistemi, bazı sistem bileşenlerini modüllere ayırıp bunların Android’in olağan sürüm döngüsü dışında güncellenmesini sağlıyor. Android’in belgelerine göre bu modüller Google Play sistem güncellemesiyle ya da üreticinin kendi güncelleme yoluyla telefona gelebiliyor. Modüller arasında medya kodekleri, MediaProvider, Wi-Fi, Bluetooth, DNS çözümleyici, Conscrypt ve izin denetleyicisi gibi bileşenler var.

Kasım bülteni bu ayrımın neden önemli olduğunu gösteriyor:

• Kritik açıklardan CVE-2026-58876, Android’in kod çalıştırmaya yol açabilen açıklarından biri ve bültene göre medya kodekleri modülünde. Bu tür bir düzeltme Google Play sistem güncellemesiyle de gelebiliyor.
• SMS of Death (CVE-2026-58882) ise bültenin Google Play sistem güncellemeleri listesinde yer almıyor. Yani bu açığın düzeltmesi için telefonun güvenlik yaması düzeyinin güncellenmesi gerekiyor.

Google’ın bültenine göre Android 10 ve sonrasını çalıştıran bazı cihazlarda Google Play sistem güncellemesinin tarihi, o ayın 1’indeki yama düzeyiyle aynı olabiliyor. İki tarihin aynı görünmesi, bütün düzeltmelerin geldiği anlamına gelmiyor.

Bu yolun da bir sonu var. Android’in belgelerine göre Android 11 ve önceki sürümler için Mainline desteği 2025’in son çeyreğinde sona erdi.

Bunların dışında Google Play Store ve Google Play hizmetleri de kendi güncellemelerini alıyor. Google’a göre bu sistem hizmetleri güncellemeleri varsayılan olarak kendiliğinden kuruluyor ve güvenlik, hata düzeltmeleri ve yeni özellikler içeriyor.

Güncellemeler ne kadar sürüyor?

Bir telefonun kaç yıl güvenlik güncellemesi alacağını üretici belirliyor. Google kendi Pixel telefonları için, diğer telefonlar içinse üreticiye ya da operatöre başvurulmasını söylüyor.

• Google Pixel: Google’a göre Pixel 8 ve sonraki telefonlar, ABD’deki Google Store’da ilk satışa çıktıkları tarihten itibaren 7 yıl işletim sistemi ve güvenlik güncellemesi alıyor. Pixel 6, 6a, 6 Pro, 7, 7a, 7 Pro ve Pixel Fold için bu süre 5 yıl. Pixel 5a (5G) ve önceki modeller artık Android sürüm güncellemesi ve güvenlik güncellemesi almıyor.
• Samsung: Samsung, Ocak 2024’ten itibaren Galaxy cihazlarda güvenlik güncellemesi desteğini 7 yıla kadar uzattığını açıklıyor. Samsung’un listesine göre Galaxy S23 ve sonraki S serisi, Z Fold5 ve Z Flip5 ve sonrası ve bazı kurumsal modeller aylık, Galaxy S22, S21 FE, A serisinin birçok modeli ve tabletlerin bir kısmı üç ayda bir güvenlik güncellemesi alıyor. Samsung listelerin dönemsel olarak gözden geçirildiğini, güncellemelerin zamanının pazara, operatöre ve modele göre değişebileceğini belirtiyor.

Pixel’de bu süre telefonun satın alındığı tarihten değil, modelin ABD’deki Google Store’da satışa çıktığı tarihten sayılıyor. Yani iki yıl önce çıkmış bir Pixel modelini bugün sıfır almak, destek süresinin iki yılının çoktan geçtiği anlamına geliyor. Diğer üreticilerde sürenin nereden sayıldığı, üreticinin kendi açıklamasına bakılarak öğrenilmeli.

Destek bittiğinde ne oluyor?

Destek süresi biten bir telefon, sonradan bulunan açıklar için düzeltme almıyor. SMS of Death bunun güncel bir örneği. Google’ın Kasım bülteninde açığın düzeltildiği Android sürümleri 14, 15, 16, 16 QPR2 ve 17. Araştırmacıya göre Android 12 ve 13 çalıştıran telefonlar aynı kodu taşıyor ve düzeltme almıyor. Google’ın yardım sayfası da eski cihazların yeni Android sürümlerini her zaman çalıştıramayabileceğini belirtiyor.

Destek bittikten sonra da bazı korumalar çalışmaya devam ediyor, ama bunlar eksik kalan güvenlik yamalarının yerini tutmuyor:

• Uygulamalar mağazalardan güncellenmeye devam ediyor. Samsung’a göre mobil uygulamaların güvenlik güncellemeleri Galaxy Store ve Google Play gibi resmi mağazalardan geliyor.
• Google, güvenilir uygulama mağazalarının kullanılmasını ve Google Play Protect gibi yerleşik korumaların açık tutulmasını öneriyor.
• Android’in belgelerine göre Mainline desteği şimdilik yalnızca Android 11 ve öncesi için sona erdi. Yani Android 12 ve sonrası bu modüllerin güncellemelerini Google Play sistem güncellemesiyle almaya devam edebiliyor, ama yukarıda anlatıldığı gibi bu modüller Android’in yalnızca bir kısmını kapsıyor.

Kısaca

• Ayarlar > Telefon hakkında bölümünden “Android güvenlik güncellemesi” tarihine bakın. Kasım 2026 için en yeni düzey 2026-11-05.
• Ayın 1’i ile 5’i arasındaki farkı hatırlayın. Ayın 1’i çekirdek ve yonga düzeltmelerini kapsamıyor.
• “Google Play sistem güncellemesi” tarihini güvenlik güncellemesiyle karıştırmayın. İkisi ayrı yollardan geliyor.
• Güncellemeyi kurduktan sonra telefonu yeniden başlatın ve tarihi tekrar kontrol edin.
• Telefonunuzun üreticisinin destek sayfasından modelinizin hâlâ güncelleme alıp almadığına ve hangi takvimle aldığına bakın. Yeni bir telefon alırken destek süresinin nereden sayıldığına da bakın. Pixel’de bu süre modelin çıkış tarihinden başlıyor.