Google, Kullanıcı Etkileşimsiz RCE İmkanı Veren Kritik Android Açığını Düzeltmek İçin Yama Yayınladı
Google, Kasım ayı güvenlik bülteninde, kritik bir Android açığının saldırganın kullanıcıdan herhangi bir eylem beklemeden telefunda uzaktan kod çalıştırmasına olanak verebileceğini açıkladı.
CVE-2026-58868 kodlu bu açık, Android 14 ile 17 arasında değişen sürümleri etkiliyor. Telefonlar, güvenlik yama düzeyi olarak 2026-11-01 veya daha sonraki bir tarihe sahip olduklarında bu düzeltmeyi alıyor; ancak telefon üreticileri ve operatörler bu güncellemeleri kendi zamanlamalarıyla gönderiyor.
4 Kasım itibarıyla Google’ın bülteni, açığı kullanan herhangi bir saldırının raporlanmadığını belirtiyor. ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı’nın (CISA) yönettiği Bilinen İstismar Edilen Açıklar (Known Exploited Vulnerabilities) kataloğunda, ajansın 3 Kasım güncellemesine göre bu açık yer almıyor.
Açık, FrameDecoder.cpp dosyasındaki onOutputReceived fonksiyonunda bir yığın tampon aşırılığı (heap buffer overflow) sonucunda ortaya çıkabilecek sınırların dışına yazım (out-of-bounds write) hatası şeklinde tanımlanıyor. Ne bülten ne de açığın CVE kaydı, saldırganın bu koda nasıl ulaşabileceğini belirtmiyor.
Google’ın Kritik (Critical) derecelendirmesi, Android’in ve Google hizmetlerinin içinde barındırdığı korumaların devre dışı bırakıldığı veya atlandığı varsayımına dayanıyor.
Android 12 ve 13 gibi daha eski sürümler açık tarafından etkilenenler arasında listelenmiyor. Google’ın kayıtları, bu sürümlerin açığı içerip içermediğini de belirtmiyor.
Telefonunuzu Nasıl Kontrol Edersiniz
Google’ın yardım sayfası şu adımları veriyor:
- Ayarlar uygulamasını açın.
- Telefon hakkında veya Tablet hakkında seçeneğine, ardından Android sürümüne dokunun.
- Android güvenlik güncellemesi ve Google Play sistem güncellemesine ait tarihleri bulun.
Android güvenlik güncellemesi tarihi, telefonun güvenlik yama düzeyidir. 2026-11-01 veya daha sonraki bir tarih, Framework, System ve Android çalışma zamanı bileşenlerindeki açık dahil CVE-2026-58868’i kapsıyor.
2026-11-05 veya daha sonraki bir tarih ise, kernel ve Arm, Imagination Technologies, MediaTek, Unisoc ve Qualcomm’a ait bölümlerdeki açık dahil Kasım bültenindeki tüm açıkları kapsıyor.
Google, iki tarih belirleyerek üreticilerin tüm Android cihazları için ortak bir düzeltme setini daha erken yaymasını sağlıyor ve tüm düzeltmelerin bülten dahilinde eklenmesini teşvik ediyor.
Android 10 veya daha yeni bir sürüm çalışan telefonlar, bazı düzeltmeleri Google Play sistem güncellemeleri yoluyla da alabilir. Bu ayın listesinde, bu güncellemeler için başka bir Kritik açık olan CVE-2026-58876 da yer alıyor.
CVE-2026-58868 bu listede yer almıyor, dolayısıyla buna ilişkin kontrol edilecek tarih Android güvenlik güncellemesi.
Bülten, güncellemeyi henüz yükleyemayan telefonlar için herhangi bir geçici çözüm sunmuyor.
Android’in Mesaj Kodunda Uzaktan Hizmet Veremeze Yol Açan Hata
Aynı zamanda Critical olarak derecelendirilen CVE-2026-58882, kaynağına göre kullanıcı etkileşimi olmadan uzaktan hizmet veremeze saldırısı gerçekleştirmeye izin verebilir. Android’in SMS üzerinden ulaşan WAP Push mesajları için kullandığı kodda yer alan decodeWapPdu adlı işlevde bulunuyor.
29 Ekim’de Mark B adıyla yayın yapan bir araştırmacı, aynı işlevdeki bir hatayı konu alan “SMS of Death” adlı bir yazı yayımladı. Ne bülten ne de CVE kaynağı, CVE-2026-58882’nin o hatayı oluşturup oluşturmadığını belirtmiyor.
Yazıya göre, biçimi bozuk bir WAP Push mesajı com.android.phone uygulamasını çökertiyor ve acil çağrıları da dahil ederek aktif olan tüm görüşmeleri sonlandırıyor. Çeşitli telefon modellerinde yapılan testlerde çökme her seferinde gerçekleşti.
Saldırgan için yalnızca hedefin telefon numarası yeterli; mesaj gelen kutusunda görünmüyor. Telefon mesajı her başlatıldığında yeniden denediği için, mesaj kaldırılana kadar her açılışta çökme yaşanabiliyor.
Böyle bir mesajı bir telefondan diğerine gönderen bir kavram kanıtı uygulaması halka açık. Android 12 ve 13’ün çalıştırdığı telefonlar aynı kodu kullanıyor ancak daha yeni sürümlerde olan güncellemeyi almıyor, araştırmacı söylüyor.
Diğer Critical Hatalar
Google’ın Kasım bülteni 216 açığı listeliyor, bunların 23’ü Critical derecedesinde. İki Critical hata daha uzaktan kod çalıştırma imkanı tanıyabilir: CVE-2026-58876 ve CVE-2026-58936, ikisi de Android’in System bileşeninde.
Altı Critical hata çekirdekte, ikisi de Bluetooth kodunda. En ciddi çekirdek açığı, uzaktan bir saldırganın kullanıcı etkileşimi olmadan ayrıcalıklı erişim elde etmesine yol açabilir.
2026-11-05 yama düzeyi ayrıca MediaTek modem kodundaki ve kapalı kaynaklı bir Qualcomm bileşenindeki Critical hataları da düzeltiyor. MediaTek, Kasım bülteninde Critical modem hatalarını sınırların dışına yazma işlemleri olarak tanımlıyor ve aktif bir sömürüden haberi olmadığını belirtiyor.
