Android'in Kasım bülteninde 23 kritik açık, SMS of Death de listede

Google, 2 Kasım’da yayımladığı Kasım 2026 Android güvenlik bülteninde 216 açığı duyurdu. Bunların 23’ü kritik, geri kalanı yüksek önemde. Google’a göre en ciddi açık Framework bileşeninde ve ek yetki gerektirmeden uzaktan kod çalıştırmaya yol açabiliyor. İstismar için kullanıcı etkileşimi gerekmiyor. Bültende açıkların saldırılarda kullanıldığına dair bir bilgi yok.

Google, önem derecesini açığın istismar edilmesi hâlinde cihaza vereceği etkiye göre belirliyor ve bu değerlendirmede platformun ve hizmetlerin koruma önlemlerinin devre dışı bırakıldığını ya da atlatıldığını varsayıyor. Bültende ve CVE kayıtlarında CVSS puanı yer almıyor. Künyedeki “kritik” önem derecesi bu yüzden Google’ın kendi sınıflandırmasına dayanıyor.

Android’in kendi kodundaki kritik açıklar

Bu açıklar 2026-11-01 güvenlik yaması düzeyinde kapatıldı. CVE kayıtlarına göre hepsinde istismar için kullanıcı etkileşimi gerekmiyor:

• CVE-2026-58868 (Framework): FrameDecoder.cpp dosyasındaki onOutputReceived işlevinde heap buffer overflow nedeniyle bellek sınırı dışına yazma. Uzaktan kod çalıştırmaya yol açabiliyor. Android 14, 15, 16, 16 QPR2 ve 17 etkileniyor.
• CVE-2026-58876 (System): Birden fazla yerde use-after-free. Uzaktan kod çalıştırmaya yol açabiliyor. Android 14 ile 17 arası etkileniyor.
• CVE-2026-58936 (System): pngset.c dosyasındaki png_set_tRNS işlevinde use-after-free. Uzaktan kod çalıştırmaya yol açabiliyor. Android 14 ile 17 arası etkileniyor.
• CVE-2026-55275 ve CVE-2026-55283 (System): Birden fazla yerde use-after-free. Uzaktan yetki yükseltmeye yol açabiliyor. Android 16, 16 QPR2 ve 17 etkileniyor.
• CVE-2026-58984 (System): Birden fazla yerde use-after-free. Yerel yetki yükseltmeye yol açabiliyor. Android 15 ile 17 arası etkileniyor.
• CVE-2026-58814 (System): PduParser.java dosyasındaki parseContentType işlevinde integer overflow. Uzaktan hizmet aksatmaya (DoS) yol açabiliyor. Android 14 ile 17 arası etkileniyor.
• CVE-2026-58882 (System): WapPushOverSms.java dosyasındaki decodeWapPdu işlevinde integer overflow nedeniyle bellek sınırı dışından okuma. Uzaktan hizmet aksatmaya yol açabiliyor. Android 14 ile 17 arası etkileniyor.

CVE-2026-58882, bir araştırmacının 29 Ekim’de “SMS of Death” adıyla ayrıntılarını ve çalışan kavram kanıtı kodunu yayımladığı açıkla aynı işlevde. Araştırmacıya göre özel hazırlanmış tek bir SMS, telefonun şebeke işlemini çökertip süren aramaları kesebiliyor. Araştırmacı düzeltmenin Ekim 2026 güncellemesiyle geldiğini yazmıştı. Google ise açığı Kasım bülteninde, 2026-11-01 yama düzeyinde listeliyor.

Android’in kendi kodunda toplam 119 açık var. Kritik olmayanların hepsi yüksek önemde ve çoğu yetki yükseltme, bilgi sızdırma ya da hizmet aksatma açığı.

Çekirdek ve yonga üreticisi bileşenleri

Bu açıklar 2026-11-05 güvenlik yaması düzeyinde kapatıldı:

• Çekirdek: 31 açık, 6’sı kritik. Kritik açıklardan ikisi Bluetooth’ta, üçü pKVM’de, biri HID’de. Google’a göre bu bölümdeki en ciddi açık, ek yetki gerektirmeden uzaktan yetki yükseltmeye yol açabiliyor ve kullanıcı etkileşimi gerektirmiyor.
• MediaTek: 30 açık, modemdeki 8’i kritik.
• Qualcomm: açık kaynak bileşenlerde 9, kapalı kaynak bileşenlerde 8 açık. Kapalı kaynak bileşenlerdeki CVE-2026-25285 kritik.
• Imagination Technologies’in PowerVR GPU’sunda 12, Arm’da 3 ve Unisoc’ta 4 açık var. Bunların hepsi yüksek önemde.

Yonga üreticisi bileşenlerindeki açıkların önem derecesini üreticilerin kendisi belirliyor.

Güncelleme

• Google’a göre 2026-11-01 ve sonraki yama düzeyleri Android’in kendi kodundaki açıkları, 2026-11-05 ve sonraki yama düzeyleri bültendeki bütün açıkları gideriyor. Google, cihazın yama düzeyinin nasıl kontrol edileceğini “Check and update your Android version” sayfasında anlatıyor.
• Google’a göre Android 10 ve sonrasını çalıştıran cihazlar bazı düzeltmeleri Google Play sistem güncellemeleriyle de alabiliyor. Bültene göre bu yolla gelen bileşenler arasında medya kodekleri, MediaProvider, telefon ve kablosuz ağ bileşenleri var. Kritik açıklardan CVE-2026-58876 da medya kodekleri kapsamında.
• Google, iş ortaklarını bültenden en az bir ay önce bilgilendirdiğini ve ilgili kaynak kodu yamalarını bültenden sonraki 48 saat içinde AOSP’de yayımlayacağını belirtiyor.

Google aynı gün Android Automotive OS (AAOS) için ayrı bir bülten de yayımladı. Bu bültendeki en ciddi açık yüksek önemde. Siber Güvenlik Başkanlığı da 3 Kasım’da AAOS bültenindeki dört açık için TR-26-1446 numaralı bildirimi yayımladı ve güncellemelerin ivedilikle yapılmasını önerdi.