Androidスマホの2026年11月セキュリティアップデートで操作しなくても乗っ取られる脆弱性が修正された

Androidスマホのセキュリティアップデートの日付が2026-11-01以降になっていれば、画面に一度も触れないまま外からプログラムを動かされるおそれのあった脆弱性CVE-2026-58868は直っています。Googleが2026年11月2日に公開したAndroidセキュリティ情報（2026年11月）で、深刻度が最も高いCritical（重大）とされた脆弱性の1つです。11月の更新がスマホに届く時期はメーカー、機種、通信会社によってずれるので、同じAndroidでも直ったスマホとまだのスマホが混ざっています。

CVE-2026-58868はAndroidのどこの脆弱性？

CVE-2026-58868は、Androidの中でアプリが動く土台になっているFramework（フレームワーク）という部分にあります。Googleの告知によると、悪用されると遠隔でコードを実行される、つまり外から送り込まれたプログラムをスマホの中で動かされるおそれがあり、攻撃する側には追加の権限も、持ち主の操作もいりません。怪しいリンクを踏まなくても、知らないファイルを開かなくても、攻撃が届いてしまう種類の脆弱性です。

Android 14、15、16、16 QPR2（Android 16の四半期ごとの更新版）、17が、この脆弱性の影響を受けます。電話などAndroidに組み込まれた機能を担うSystemという別の部分にも、遠隔でコードを実行されるおそれのあるCriticalの脆弱性があり、CVE-2026-58876とCVE-2026-58936のどちらも同じ版が対象です。

この3つの脆弱性は、CyberInsiderによると11月3日の時点ではまだ攻撃に使われていません。ギズモード・ジャパンの記事によると、更新が届くまでのあいだも、アプリにできることを絞るAndroidの権限の仕組みと、アプリを調べるGoogle Play プロテクトが守りの層として働きます。

通話が切れるSMS of Deathも2026-11-01の分で直る

10月の終わりに知られた、WAP Pushという形式のSMSを1通受け取るだけで通話が切れる不具合SMS of Deathも、CyberInsiderによると今回の更新でCVE-2026-58882として直りました。電話の機能を受け持つcom.android.phoneというプロセスが、形の崩れたWAP Pushのデータを受け取ると落ち、そのとき話している通話も一緒に切れてしまう不具合です。原因は、WapPushOverSms.javaというプログラムが数値を変換するときに範囲を確かめておらず、値がマイナスになってしまうことでした。CVE-2026-58882は、Systemの部分にあるサービス拒否（機能を止めさせる攻撃）の脆弱性で、深刻度はCriticalです。修正は2026-11-01の分に入っていて、CVE-2026-58868と一緒に届きます。

この2つは、危なさの出方が違います。CVE-2026-58868は乗っ取りにつながり得る一方で、攻撃に使われた例はまだありません。SMS of Deathのほうは乗っ取りにはつながらないものの、10月29日に公表されていて、試すためのコード（実証コード）も出回っています。私なら、もう誰でも試せる状態のSMS of Deathを理由に、11月の更新を早めに入れます。

2026-11-01と2026-11-05の違い

セキュリティアップデートの日付は、設定の「デバイス情報」から「Android バージョン」を開くと出てきます。11月の修正は２回あったようで、概要としては下記表のとおりです。

2026-11-05以降なら告知にある修正が全部入っていて、2026-11-01なら上の段だけです。カーネル（OSの中心で部品を動かす部分）ではBluetoothなどのCriticalが、チップではMediaTekのモデム（電波で通信する部品）のCriticalが8件、2026-11-05の側で直ります。

MediaTekのチップを使うスマホで日付が2026-11-01で止まっていると、CVE-2026-58868は直っていても、このモデムの8件は残ったままです。

何れにしても最新のアップデートを行っておきましょう。

広告

Google pixel 11 SIMフリー スマホ本体｜容量・カラー選択可能 ｜docomo au SoftBank ahamo UQ Rakuten等回線対応｜APN設定要の場合あり｜1GB日本専用データeSIM付き (Obsidian, 12GB+256GB)Amazon.co.jpで見る