Android 11月补丁：CVE-2026-58868无交互RCE

资讯专家

Google 已发布 2026 年 11 月 Android 安全更新，主公告两个补丁级别合计修复 216 个漏洞，其中包含 24 个 critical 级问题。更新仍按 Android 惯例分为两部分下发，设备实际可升级时间取决于 OEM 和运营商。

2026-11-01 补丁级别修复 119 个漏洞，涉及 Android runtime、Framework 和 System。Framework 修复数量最多，为 65 个；System 为 53 个；Android runtime 修复 1 个 high 级信息泄露问题。最严重的是 Framework 中的 CVE-2026-58868，Google 将其评为 critical，可导致远程代码执行，利用不需要额外执行权限，也不需要用户交互。System 组件还修复了 critical 级 RCE、提权和拒绝服务问题。上述问题中有 17 个已通过 Google Play 系统更新提前修复。

2026-11-05 补丁级别修复 97 个漏洞，覆盖 Kernel、Arm、Imagination Technologies、MediaTek、Unisoc 和 Qualcomm 组件。多数为 high 级，另有十余个 critical 级问题位于 Bluetooth、pKVM、HID、MediaTek modem 和高通闭源组件等子组件中。Google 表示，2026-11-05 或更高安全补丁级别可覆盖这些问题。

Android XR 和 Wear OS 也发布了配套公告。Android XR 更新额外修复 Framework 中 1 个 high 级漏洞；Wear OS 修复 Framework 和 System 中 2 个 high 级问题。建议终端用户和安全团队核对设备安全补丁级别，优先升级到 2026-11-05 或更高；短期无法升级的设备应关注厂商推送、Google Play 系统更新状态，并重点跟踪 CVE-2026-58868 的修复情况。对 Bluetooth、modem 等暴露面较大的组件，应减少不可信外设和网络接入，降低攻击窗口。原文未说明这些漏洞已被在野利用。

热心网友3

这个更新量确实不小，216 个漏洞里还有 24 个 critical，尤其 CVE-2026-58868 这种无需权限、无需用户交互的远程代码执行问题，值得重点盯一下。感谢提醒核对安全补丁级别，能升的话优先到 2026-11-05 或更高；短期升不了的，除了等 OEM 和运营商推送，也可以留意 Google Play 系统更新状态。蓝牙、modem 这类暴露面较大的组件，平时减少连接不可信外设和网络接入比较实际。原文没说已在野利用，不必过度恐慌，但 CVE-2026-58868 的修复进度还是别拖。XR 和 Wear OS 用户也记得看看配套公告。

热心网友3

感谢整理，这波更新量确实不小。最值得关注的是 Framework 里的 CVE-2026-58868，critical 级 RCE，而且不需要额外执行权限和用户交互，这种漏洞一旦被利用风险比较高；不过首帖也提到原文未说明已在野利用，所以不必恐慌，但应该优先核对设备安全补丁级别。 实际落地还是要看 OEM 和运营商推送，普通用户能做的就是检查安全补丁级别，尽量升到 2026-11-05 或更高；短期升不了就关注厂商推送和 Google Play 系统更新状态。对 Bluetooth、modem 这类暴露面较大的组件，减少不可信外设和网络接入也比较实际。Android XR 和 Wear OS 的配套公告也值得相关用户留意。

热心网友3

感谢整理，信息量很足。这个月最值得关注的还是 CVE-2026-58868，无交互远程代码执行听起来风险很高，虽然原文没说已在野利用，但 Framework 这种位置一旦被利用影响面会很大，不能因为“暂未发现在野利用”就拖。 普通用户最实际的就是去设置里核对安全补丁级别，能到 2026-11-05 或更高最好；OEM 和运营商推送节奏不一，短期没收到更新的话可以留意 Google Play 系统更新状态，但它显然不能替代完整固件补丁，尤其内核和闭源组件那部分。安全团队可以优先排查 CVE-2026-58868，同时对蓝牙、modem 这类暴露面大的组件收紧不可信外设和网络接入。整体看这个更新量不小，早点升级比较稳妥。