// AI 威胁新闻台 · 2026年11月15日
首页/CVE · 漏洞修补
漏洞修补高RCECVSS 未有评分

Android漏洞CVE-2026-58868可远程执行代码

Google修复了CVE-2026-58868，这是Android Framework中的严重漏洞，可能允许攻击者在Android 14至17上无需用户交互即可远程执行代码。

· 阅读 2 分钟
AI 生成图像，非事件现场照片
AI 生成图像，非事件现场照片。
重点
  • Google表示，Android公告中最严重的问题可能导致远程代码执行，且不需要额外权限或用户交互。
  • Google表示，CVE-2026-58868影响Android 14至17。
  • 日期为2026-11-05或之后的Android安全补丁级别可修复11月公告中的所有问题。

Google发布了Android安全公告，并修复了一个严重的Framework漏洞，该漏洞可能导致远程代码执行，且不需要额外权限或用户交互。

该问题影响Android 14至17版本，而手机制造商和运营商会按照各自的安排推送修复程序。Google的记录没有说明攻击者会如何触及易受攻击的代码。

Android 12和13未被列为受影响版本，但Google的记录没有说明这些版本是否存在该漏洞。截至11月4日，Google的公告没有报告利用其漏洞的攻击；截至11月3日的更新，CISA目录也没有列出该问题。

本文目录

CVE-2026-58868可能是堆缓冲区溢出

Google表示，该漏洞可能是由FrameDecoder.cpp的onOutputReceived函数中的堆缓冲区溢出导致的越界写入。

该公司表示，其严重评级假定Android和Google服务保护已被关闭或绕过。公告和该漏洞的CVE记录均未说明攻击者会如何触及易受攻击的代码。

Android使用2个11月安全补丁级别

Google表示，2026-11-01或之后的安全更新涵盖CVE-2026-58868，以及Framework、System和Android运行时组件中的其他漏洞。2026-11-01补丁级别可修复与该补丁级别相关的所有问题。

该公司表示，这2个补丁级别让Android合作伙伴可以灵活地更快修复跨设备共享的一部分漏洞。手机会按照手机制造商和运营商的安排接收相关更新。

Google表示，日期为2026-11-05或之后的Android安全补丁级别可修复11月公告中的所有问题。Google还表示，在公告首次发布后的48小时内，相应的源代码补丁将发布到Android开源项目代码库。

补丁级别覆盖范围
2026-11-01或之后涵盖CVE-2026-58868，以及Framework、System和Android运行时组件中的其他漏洞；修复与该补丁级别相关的所有问题。
2026-11-05或之后修复11月公告中的所有问题。

防守方现在要做什么

  1. 在可能的情况下更新到最新版本的Android。

常见问题

什么是CVE-2026-58868？

Google表示，这是由FrameDecoder.cpp的onOutputReceived函数中的堆缓冲区溢出导致的可能越界写入。该问题可能导致远程代码执行，且不需要额外权限或用户交互。

哪些Android版本受CVE-2026-58868影响？

Google表示，该漏洞影响Android 14至17。Android 12和13未被列为受影响版本，但Google的记录没有说明其中是否存在该漏洞。

CVE-2026-58868是否已被利用？

截至11月4日，Google的公告没有报告利用其漏洞的攻击。截至11月3日的更新，CISA的已知被利用漏洞目录也没有列出该问题。

如何修复Android上的CVE-2026-58868？

Google表示，日期为2026-11-05或之后的Android安全补丁级别可修复11月公告中的所有问题。Google还表示，2026-11-01或之后的安全补丁级别涵盖CVE-2026-58868，具体取决于手机制造商和运营商的安排。

来源

  1. Android Security Bulletin, November 2026 | Android Open Source Project, Google原始文件
  2. Google Issues Patches for Critical Android Flaw That Could Allow RCE Without User Interaction, The Hacker News
我们如何核实这篇报道
内容来源状态
Google表示，Android公告中最严重的问题可能导致远程代码执行，且不需要额外权限或用户交互。Google已证实
Google表示，日期为2026-11-05或之后的Android安全补丁级别可修复11月公告中的所有问题。Google已证实
Google的公告和CVE记录均未说明攻击者会如何触及易受攻击的代码。Google, via The Hacker News引述
截至11月4日，Google的公告没有报告利用其漏洞的攻击。Google, via The Hacker News引述
截至11月3日的更新，该漏洞未列入CISA的已知被利用漏洞目录。CISA, via The Hacker News引述
Android 12和13未被列为受影响版本，但Google的记录没有说明其中是否存在该漏洞。Google, via The Hacker News引述
Google表示，合作伙伴会在公告发布前至少1个月收到所有Android问题的通知。Google已证实
Google表示，相应的源代码补丁将在公告首次发布后的48小时内发布到AOSP。Google已证实
Google表示，日期为2026-11-01或之后的Android安全补丁级别可修复与该补丁级别相关的所有问题。Google已证实
Google表示，Android合作伙伴可以使用这2个补丁级别更快修复一部分漏洞。Google已证实
Google鼓励Android合作伙伴修复公告中的所有问题，并使用最新安全补丁级别。Google已证实

未能核实

  • 尚未确定CVE-2026-58868是否曾在实际环境中被利用。
  • 尚未确定有多少台设备受到影响。
  • 尚未确定攻击者会如何触及易受攻击的代码。
  • 尚未确定Android 12和13是否存在该漏洞。
cvegoogle
查看全部 漏洞修补 →
用 AI 深入了解
ChatGPT
Claude
Perplexity
Grok