Een kritieke kwetsbaarheid in Android maakt remote code execution op telefoons mogelijk, waarbij er geen interactie van gebruikers is vereist. Google heeft updates uitgebracht om het probleem te verhelpen. Met de patchronde van november patchte Google in totaal 233 kwetsbaarheden in Android, waarmee het één van de grootste patchrondes in de geschiedenis van het mobiele besturingssysteem is.

Drie kritieke kwetsbaarheden, waarvan één aanwezig in Android Framework en twee in Android System, maken remote code execution mogelijk. Daarbij is geen interactie van gebruikers vereist en zijn ook geen aanvullende 'execution privileges' nodig. Volgens Google is de kritieke kwetsbaarheid het Android Framework (CVE-2026-58868) het gevaarlijkst. Verdere details over de kwetsbaarheden, zoals hoe ze zijn te misbruiken, zijn niet gegeven. De beveiligingslekken zijn verholpen in Android 14, 15, 16, 16-qpr2 en 17.

Patchniveau
Google werkt met zogeheten patchniveaus, waarbij een datum het patchniveau weergeeft. Toestellen die de november-updates ontvangen zullen '2026-11-01' of '2026-11-05' als patchniveau hebben. Fabrikanten die willen dat hun toestellen dit patchniveau krijgen moeten in dit geval alle updates van het Android-bulletin van november aan hun eigen updates toevoegen, om die vervolgens onder hun gebruikers uit te rollen. De updates zijn beschikbaar gesteld voor Android 14, 15, 16, 16-qpr2 en 17.

Fabrikanten van Androidtoestellen zijn volgens Google tenminste een maand geleden over de nu verholpen kwetsbaarheden ingelicht en hebben in die tijd updates kunnen ontwikkelen. Dat wil echter niet zeggen dat alle Androidtoestellen deze updates zullen ontvangen. Sommige toestellen worden niet meer met updates van de fabrikant ondersteund of de fabrikant brengt de updates op een later moment uit. Google maakte onlangs nog bekend dat 40 procent van de Androidtelefoons geen updates meer ontvangt.