Bản tin bảo mật tháng 11 của Google vá hơn 200 lỗ hổng, bao gồm lỗ hổng thực thi mã từ xa zero-click nghiêm trọng, người dùng Android cần nâng cấp càng sớm càng tốt

Tin tức BlockBeats, ngày 5 tháng 11, Google gần đây đã phát hành bản tin bảo mật Android tháng 11 năm 2026, sửa chữa tổng cộng hơn 200 lỗ hổng. Nghiêm trọng nhất là CVE-2026-58868 (Critical) trong thành phần Framework, thuộc lỗ hổng ghi ngoài phạm vi do tràn bộ đệm heap, nằm trong hàm onOutputReceived của FrameDecoder.cpp.

Lỗ hổng này cho phép kẻ tấn công thực thi mã tùy ý từ xa, không cần tương tác của người dùng, cũng không cần quyền bổ sung, thuộc loại tấn công zero-click (Zero-Click) điển hình. Sau khi khai thác thành công, kẻ tấn công có thể kiểm soát hoàn toàn thiết bị bị ảnh hưởng. Hiện tại Google chưa xác nhận có khai thác trong thực tế, cũng chưa thấy bằng chứng khái niệm (PoC) công khai. Các phiên bản bị ảnh hưởng bao gồm Android 14, 15, 16, 16 QPR2 và 17. Bản vá được phát hành theo hai cấp độ:

· Cấp bản vá bảo mật ≥ 2026-11-01: đã bao gồm các bản sửa lỗi CVE-2026-58868 và các thành phần Framework, System;

· Cấp bản vá bảo mật ≥ 2026-11-05: bao phủ toàn bộ lỗ hổng trong đợt này, bao gồm cả các vấn đề ở tầng kernel và chip như MediaTek, Qualcomm.

CISO 23pds của SlowMist cho biết, nếu lỗ hổng này bị khai thác trong thực tế, tác động sẽ cực kỳ nghiêm trọng. Trong số điện thoại thông minh toàn cầu, thiết bị Android chiếm khoảng bảy mươi phần trăm, một khi bị khai thác quy mô lớn, có thể gây ra tình trạng thiết bị bị xâm nhập trên diện rộng. Khuyến nghị người dùng ngay lập tức kiểm tra và nâng cấp hệ thống: vào "Cài đặt → Giới thiệu điện thoại → Phiên bản Android", xác nhận "Cấp bản vá bảo mật" đã đạt 2026-11-05 hoặc cao hơn chưa. Thời gian phát hành của nhà sản xuất thiết bị có thể khác nhau, khuyến nghị ưu tiên nâng cấp lên cấp bản vá đầy đủ.