Googleの11月のAndroidセキュリティアップデートでは、ユーザーが何も操作しなくても攻撃者が悪意あるコードを実行できる重大な脆弱性を含む、216件の脆弱性に対処した。
今回の修正には、重大度がクリティカルの脆弱性が約24件含まれており、リモートコード実行（RCE）、権限昇格、情報漏えい、サービス拒否攻撃に関するものとなっている。
2026年11月1日のセキュリティパッチレベルで示された第1弾では、Androidのフレームワーク、システム、ランタイムにまたがる119件の脆弱性を解消した。フレームワークが65件、システムが53件を占め、残る1件はAndroidランタイムの情報漏えい脆弱性に対する修正となる。
「これらの問題の中で最も深刻なのは、追加の実行権限を必要とせずにリモートコード実行につながる可能性があり、悪用にユーザーの操作も必要ない、フレームワークコンポーネントの重大なセキュリティ脆弱性です」とGoogleはセキュリティ速報で述べた。
さらに、CVE-2026-58876とCVE-2026-58936という2件の重大なRCE脆弱性がAndroidシステムに影響する。
11月5日のセキュリティパッチレベルで示された第2弾では、Linuxカーネルと、Arm、Imagination Technologies、MediaTek、Unisoc、Qualcommのコンポーネントに影響する別の97件の脆弱性に対処した。
これらの修正のうち12件超は、Bluetooth、保護されたカーネルベースの仮想マシン（pKVM）、ヒューマン・インターフェース・デバイス（HID）コンポーネント、MediaTekのモデム、Qualcommのクローズドソースコンポーネントに関わる重大な脆弱性に対するものだ。
「死のSMS」にも対処
もう1つ注目される脆弱性が、CVE-2026-58882だ。これは「死のSMS」と呼ばれる、重大なサービス拒否脆弱性である。
この脆弱性では、特別に細工されたSMSメッセージによってAndroidの通話サービスがクラッシュし、緊急通話を含む通話中の通信が中断される可能性がある。eSecurity Planetが以前報じたところによると、独立研究者のMark Blaszczyk氏は、5月にGoogleへ報告した後、10月29日にこの問題を公表した。
Googleは以前、10月に修正が提供されていたと示していたが、この脆弱性は11月のセキュリティ速報にも掲載されている。今回掲載されたからといって、以前の修正を受けた端末が引き続き無防備だったとは限らない。ただしユーザーは、利用中の端末に該当するセキュリティアップデートが適用されていることを確認すべきだ。
Samsung、Galaxy独自のセキュリティパッケージを準備
Samsungも11月のセキュリティリリースの詳細を公開した。このリリースでは、Androidの修正にGalaxy端末向けの追加保護を組み合わせている。
SammyGuruによると、このパッケージでは206件の脆弱性に対処しており、内訳はGoogleによるAndroidの修正178件、Samsung Semiconductorによる修正4件、Samsung独自のソフトウェアに影響する脆弱性24件となっている。
Galaxy固有の修正は、ブートローダー、カメラフィルタープラグイン、Samsung Contacts、Dialer、Messages、SIMロック保護に関わる問題を対象としている。一部の脆弱性は、特定の条件下で不正な通話を許可したり、機密情報を露出させたり、コード実行を可能にしたりするおそれがある。Samsungは確定した展開スケジュールを示していない。提供時期は端末モデル、通信事業者、地域によって異なり、アップデートは段階的に配信される見込みだ。
今回のパッチがAndroidユーザーに意味すること
消費者にとって最大の懸念は、攻撃を成功させるために、疑わしいリンクを開いたり、悪意あるアプリをインストールしたり、不審な権限を承認したりする必要がない脆弱性が存在することだ。
フレームワークのRCE脆弱性は、攻撃にユーザーの操作を一切必要としないため、特に懸念される。Androidユーザーは、通常のソフトウェアアップデートを受け取ったからといって11月の脆弱性がすべて対処済みだと考えず、端末のセキュリティパッチの日付を確認すべきだ。
11月1日のパッチレベルでは、「死のSMS」脆弱性を含むフレームワークとシステムの修正が適用され、11月5日のレベルでは、Googleの11月の速報に記載された該当する脆弱性がすべて対象となる。
Pixelユーザーは「設定」で利用可能なシステムアップデートを確認できる。Samsungユーザーは「設定」から「ソフトウェア更新」、続いて「ダウンロードしてインストール」に進む。メーカーによってメニュー名や配信スケジュールが異なる場合がある。
パッチの遅れ、企業にとって依然としてセキュリティ上の問題
Android端末を管理する企業にとって、11月のリリースは大きなパッチ管理上の課題となる。
メーカー、ハードウェアコンポーネント、通信事業者、地域ごとの展開スケジュールの違いにより、Googleが修正を公開した後も、一部の端末が既知の脆弱性にさらされ続ける可能性がある。
企業のITチームは、管理対象端末のセキュリティパッチレベルを確認し、企業メールや機密性の高いアプリケーションへのアクセスに使われるスマートフォンのアップデートを優先するとともに、該当するベンダー固有の修正がインストールされていることを確認すべきだ。
組織はモバイルデバイス管理ポリシーも見直し、サポート対象外の端末を特定するとともに、可能な場合は最低限必要なセキュリティパッチ要件を適用すべきである。
11月のリリースは、パッチが提供されるだけでは不十分な理由を浮き彫りにしている。企業は、実際に修正を受け取った端末と、アップデートを待つ間も脆弱なままの端末を把握する必要がある。
セキュリティ関連の別のニュースでは、General Motorsは米国36州と2億2,000万ドルの和解に合意した。適切な同意を得ずにドライバーの位置情報や運転行動データを収集して第三者のブローカーに販売し、保険会社がその情報を保険料の調整に利用できる状態にしていたとの疑いをめぐるものだ。