// AI 威脅新聞台 · 2026年11月15日
首頁/CVE · 漏洞修補
漏洞修補高RCECVSS 未有評分

Android漏洞CVE-2026-58868或可遠程執行程式碼

Google已修補CVE-2026-58868。該項嚴重Android Framework漏洞可能在無需用戶互動的情況下，讓攻擊者在Android 14至17上遠程執行程式碼。

· 閱讀 2 分鐘
AI 生成圖像，非事件現場相片
AI 生成圖像，非事件現場相片。
重點
  • Google表示，Android公告中最嚴重的問題可能導致遠程執行程式碼，無需額外權限或用戶互動。
  • Google表示，CVE-2026-58868影響Android 14至17。
  • 2026-11-05或之後日期的Android安全修補程式級別，修補11月公告中的所有問題。

Google發布Android安全公告，並修補一項嚴重Framework漏洞。該漏洞可能導致遠程執行程式碼，無需額外權限或用戶互動。

該問題影響Android 14至17版本，而手機製造商及電訊商按各自時間表發布修補程式。Google的記錄沒有說明攻擊者如何接觸存在漏洞的程式碼。

Android 12及13未列為受影響版本，但Google的記錄沒有說明這些版本是否存在該漏洞。截至11月4日，Google的公告沒有報告有人利用其漏洞發動攻擊，而CISA的目錄截至11月3日更新時亦未列出該問題。

本文目錄

CVE-2026-58868可能是堆積緩衝區溢位

Google表示，該漏洞可能是越界寫入，由FrameDecoder.cpp的onOutputReceived函數出現堆積緩衝區溢位所致。

該公司表示，其「嚴重」評級假設Android及Google服務的保護措施已被關閉或繞過。公告及該漏洞的CVE記錄均沒有說明攻擊者如何接觸存在漏洞的程式碼。

Android採用2個11月安全修補程式級別

Google表示，2026-11-01或之後的安全更新涵蓋CVE-2026-58868，以及Framework、System和Android運行環境組件中的其他漏洞。2026-11-01修補程式級別會修補與該修補程式級別相關的所有問題。

該公司表示，2個修補程式級別讓Android合作夥伴可更靈活地處理跨裝置共通的一部分漏洞，並更快完成修補。手機會按手機製造商及電訊商的時間表接收相關更新。

Google表示，2026-11-05或之後日期的Android安全修補程式級別，修補11月公告中的所有問題。該公司亦表示，相應的原始碼修補程式會在公告首次發布後48小時內，發布至Android開源項目存放庫。

修補程式級別涵蓋範圍
2026-11-01或之後涵蓋CVE-2026-58868，以及Framework、System和Android運行環境組件中的其他漏洞；修補與該修補程式級別相關的所有問題。
2026-11-05或之後修補11月公告中的所有問題。

防守方現在要做甚麼

  1. 在可行情況下更新至最新Android版本。

常見問題

CVE-2026-58868是甚麼？

Google表示，該漏洞可能是越界寫入，由FrameDecoder.cpp的onOutputReceived函數出現堆積緩衝區溢位所致。該問題可能導致遠程執行程式碼，無需額外權限或用戶互動。

哪些Android版本受CVE-2026-58868影響？

Google表示，該漏洞影響Android 14至17。Android 12及13未列為受影響版本，但Google的記錄沒有說明這些版本是否存在該漏洞。

CVE-2026-58868曾遭利用嗎？

截至11月4日，Google的公告沒有報告有人利用其漏洞發動攻擊。CISA的已知遭利用漏洞目錄截至11月3日更新時亦未列出該問題。

如何在Android上修補CVE-2026-58868？

Google表示，2026-11-05或之後日期的Android安全修補程式級別，修補11月公告中的所有問題。該公司亦表示，2026-11-01或之後的安全修補程式級別涵蓋CVE-2026-58868，發布時間視乎手機製造商及電訊商的安排。

來源

  1. Android Security Bulletin, November 2026 | Android Open Source Project, Google原始文件
  2. Google Issues Patches for Critical Android Flaw That Could Allow RCE Without User Interaction, The Hacker News
我們如何核實這篇報道
內容來源狀態
Google表示，Android公告中最嚴重的問題可能導致遠程執行程式碼，無需額外權限或用戶互動。Google已證實
Google表示，2026-11-05或之後日期的Android安全修補程式級別，修補11月公告中的所有問題。Google已證實
Google的公告及CVE記錄均沒有說明攻擊者如何接觸存在漏洞的程式碼。Google, via The Hacker News引述
截至11月4日，Google的公告沒有報告有人利用其漏洞發動攻擊。Google, via The Hacker News引述
截至11月3日更新，CISA的已知遭利用漏洞目錄沒有列出該漏洞。CISA, via The Hacker News引述
Android 12及13未列為受影響版本，但Google的記錄沒有說明這些版本是否存在該漏洞。Google, via The Hacker News引述
Google表示，合作夥伴會在公告發布至少1個月前收到所有Android問題的通知。Google已證實
Google表示，相應的原始碼修補程式會在公告首次發布後48小時內發布至AOSP。Google已證實
Google表示，2026-11-01或之後日期的Android安全修補程式級別，修補與該修補程式級別相關的所有問題。Google已證實
Google表示，Android合作夥伴可使用2個修補程式級別，更快修補一部分漏洞。Google已證實
Google鼓勵Android合作夥伴修補公告中的所有問題，並使用最新安全修補程式級別。Google已證實

未能核實

  • CVE-2026-58868是否曾在實際環境中遭利用，尚未確定。
  • 受影響裝置數量，尚未確定。
  • 攻擊者如何接觸存在漏洞的程式碼，尚未確定。
  • Android 12及13是否存在該漏洞，尚未確定。
cvegoogle
查看全部 漏洞修補 →
用 AI 深入了解
ChatGPT
Claude
Perplexity
Grok