Android 11月の更新、操作なしで狙われる欠陥を修正

やること

会社で使う Android 端末をセキュリティパッチレベル 2026-11-05 以降へ更新してください。2026-11-05 の端末は、2026-11-01 の分も含めて修正されています。

端末の設定にある更新の項目から確かめられます。確認の方法は、Google のサポートページ「Check and update your Android version」に案内があります。

何が危ないのか

Google は11月2日に、Android の11月のセキュリティ情報を公開しました。修正は2つの段階に分かれています。Android のパートナー（端末メーカーなど）が、機種に共通する問題を先に素早く直せるようにするためです。Google は、すべての問題を直して新しいほうのパッチレベルを使うことを勧めています。

• 2026-11-01：OS の Android runtime、Framework、System の欠陥です
• 2026-11-05：カーネルと、Arm、Imagination、MediaTek、Unisoc、Qualcomm の部品の欠陥です

最も重いのは Framework の CVE-2026-58868 で、追加の権限も利用者の操作もなしに、外からコードを実行されるおそれがあります。Google の評価は Critical で、Android のセキュリティ情報に CVSS の値は載っていません。

Critical は全部で23件あります。内訳は、2026-11-01 の分が Framework 1件と System 7件、2026-11-05 の分がカーネル 6件、MediaTek のモデム 8件、Qualcomm の非公開の部品 1件です。System の7件は、コードの実行が2件、権限の昇格が3件、サービス停止が2件です。カーネルの6件は Bluetooth、pKVM（仮想化の部分）、HID（入力機器）の欠陥で、情報の漏えいが1件、残りは権限の昇格です。

Google の情報に悪用が確認されたという記載はありません。Critical の評価は、Android の防御の仕組みやサービス側の対策が効かなかった場合を想定したものです。Google は、新しいバージョンの Android ほど多くの攻撃が難しくなると説明しています。有害なアプリを見張る Google Play プロテクトは、Google のサービスが入った端末では初期状態で有効で、Google Play の外からアプリを入れる人には特に大切だとされています。

対象

CVE-2026-58868 の対象は Android 14、15、16、16-qpr2、17 です。カーネルと部品の欠陥には Android のバージョンの記載がありません。

Pixel 端末の詳細は、この情報とは別の Pixel のセキュリティ情報で公開されています。端末メーカーの部品の欠陥は、パッチレベルを宣言する必須の条件にはなっていません。そのため、同じパッチレベルでも、機種によって修正の範囲が違う場合があります。

中小企業が確かめること

社員の私物の端末を業務に使っている場合は、パッチレベルを自己申告で集めておくと、更新の遅れている端末が分かります。メーカーや通信会社が配る時期は機種ごとにずれるため、2026-11-01 の端末が出てきたら、11-05 の配信がいつ届くかを問い合わせてください。