תוקן פגם קריטי באנדרואיד שמאפשר הרצת קוד מרחוק ללא לחיצה, אך טלפונים רבים עלולים לפספס את התיקון

גוגל תיקנה פגם אבטחה קריטי באנדרואיד, שעלול היה לאפשר להאקרים להשתלט על טלפון בלי שהמשתמש ילחץ או יאשר דבר. הפגם החמור ביותר נמצא בקוד לעיבוד מדיה שיוצר תמונות תצוגה מקדימה. כמעט מחצית מהמכשירים הפעילים של אנדרואיד לעולם לא יקבלו את התיקון.

פגם ללא לחיצה בקוד המדיה

הבולטין לאבטחת אנדרואיד מנובמבר 2026 מזהיר מפגם קריטי של הרצת קוד מרחוק שהאקרים יכולים לנצל בלי שהמשתמשים יבחינו בדבר. בהודעה נאמר שהבעיה החמורה ביותר היא פגם אבטחה קריטי ברכיב Framework, שעלול להוביל להרצת קוד מרחוק בלי צורך בהרשאות הרצה נוספות ובלי אינטראקציה של המשתמש. הפגם המדובר משפיע על כל גרסאות אנדרואיד הנתמכות, 14 עד 17. גם גרסאות אנדרואיד ישנות יותר שהתמיכה בהן הסתיימה עלולות להיות פגיעות, משום שהרכיב הפגיע קיים מאז 2017. הפגם מזוהה כ-CVE-2026-58868 ומתואר כהצפת מאגר זיכרון מסוג heap buffer overflow שגורמת לכתיבה מחוץ לגבולות. הוא נמצא ברכיב ה-framework של אנדרואיד שאחראי לעיבוד הפעלת מדיה, ובאופן ספציפי בפונקציה פגיעה בקובץ FrameDecoder.cpp שיוצר תמונות תצוגה מקדימה, כמו תמונות ממוזערות של וידאו ותמונות. נכון להיום אין אקספלויט הוכחת היתכנות פומבי, וגוגל לא אישרה ניצול פעיל בשטח. עם זאת, תוקפים בסיוע בינה מלאכותית יכולים לנתח את התיקונים בהנדסה הפוכה במהירות יחסית, ברגע שקוד המקור מפורסם 48 שעות לאחר פרסום הבולטין הראשוני. לכל המשתמשים מומלץ לעדכן את המכשירים לרמת עדכון האבטחה 2026-11-01 או חדשה יותר.

מכשירים רבים עלולים לפספס את התיקון

נתוני התפוצה של אנדרואיד מראים ש-43.6% מהמכשירים הפעילים עדיין מריצים אנדרואיד 13 או גרסה ישנה יותר, שבה תמיכת האבטחה הסתיימה והתיקונים החדשים אינם מגיעים. במכשירי אנדרואיד חדשים יותר, כל יצרן חייב לבנות ולשלוח את התיקון, מה שעלול לגרור עיכוב. טלפונים רבים בתקציב נמוך שחרגו מחלון העדכונים שהובטח להם עלולים גם הם לעולם לא לקבל את תיקון נובמבר. אנדרואיד היא מערכת ההפעלה הניידת הפופולרית ביותר, עם בסיס משתמשים שמתקרב ל-4 מיליארד, לפי הערכות שונות.

עדכון נובמבר מתקן 216 פגמים

עדכון האבטחה של אנדרואיד מטפל ב-23 פגמי אבטחה קריטיים וב-193 באגים פחות חמורים בסך הכול. הוא כולל תיקון לפגם קריטי מסוג SMS of Death, שמאפשר לתוקפים להפיל את שירות הטלפון של אנדרואיד, לנתק שיחות פעילות, כולל שיחות חירום, ועלול לגרום ללולאת אתחול. שני פגמי מערכת קריטיים, CVE-2026-58876 ו-CVE-2026-58936, שכל אחד מהם מדורג 9.8 מתוך 10 בסולם החומרה, עלולים להוביל להרצת קוד מרחוק בלי צורך בהרשאות הרצה נוספות או באינטראקציה של המשתמש. כמה פגמים קריטיים שמאפשרים לקוד זדוני להעלות הרשאות זוהו ברכיבי הליבה. גוגל כללה גם תיקונים קריטיים לרכיבים של MediaTek ו-Qualcomm.

מקורות: Cybernews