Google, Android’deki Kritik Uzaktan Kod Yürütme Güvenlik Açığını Giderdi

Google, Android’deki Kritik Uzaktan Kod Yürütme Güvenlik Açığını Giderdi

Google, Kasım ayı güvenlik bülteninde, Android’de tespit edilen kritik bir güvenlik açığının, saldırganların kullanıcı etkileşimi olmadan uzaktan kod çalıştırmasına olanak tanıyabileceğini duyurdu. Bu önemli güvenlik açığı, Android 14’ten 17’ye kadar olan sürümleri etkiliyor.

Söz konusu güvenlik açığı, CVE-2026-58868 olarak tanımlanmıştır. Bu açık, FrameDecoder.cpp dosyasının onOutputReceived fonksiyonunda bir yığın arabellek taşması nedeniyle oluşabilecek olası bir sınır dışı yazma hatasıdır. Google’ın güvenlik bülteni veya CVE kaydı, saldırganların bu koda nasıl ulaşabileceğine dair detaylı bilgi vermemektedir.

Google, bu güvenlik açığını “Kritik” olarak derecelendirmiştir. Bu derecelendirme, Android ve Google hizmetlerinde yerleşik korumaların devre dışı bırakıldığı veya atlandığı varsayımına dayanmaktadır. 4 Kasım itibarıyla, Google’ın bülteninde bu güvenlik açıklarını istismar eden herhangi bir saldırı bildirilmemiştir. Ayrıca, ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA) tarafından tutulan Bilinen İstismar Edilen Güvenlik Açıkları kataloğunda da 3 Kasım güncellemesi itibarıyla bu açıklar yer almamaktadır.

Android 12 ve 13 gibi eski sürümlerin bu güvenlik açığından etkilenip etkilenmediği belirtilmemiştir. Google kayıtlarında bu konuda bir bilgi bulunmamaktadır.

Telefonunuzu Nasıl Kontrol Edebilirsiniz?

Google’ın yardım sayfasına göre, telefonunuzun güvenlik yama seviyesini kontrol etmek için aşağıdaki adımları izleyebilirsiniz:

1. Ayarlar uygulamasını açın.
2. “Telefon hakkında” veya “Tablet hakkında” seçeneğine, ardından “Android sürümü”ne dokunun.
3. Android güvenlik güncellemesi ve Google Play sistem güncellemesi tarihlerini bulun.

Android güvenlik güncelleme tarihi, telefonunuzun güvenlik yama seviyesini gösterir. 2026-11-01 veya daha yeni bir tarih, CVE-2026-58868 ve Çerçeve, Sistem ve Android çalışma zamanı bileşenlerindeki diğer güvenlik açıklarını kapsar. 2026-11-05 veya daha yeni bir tarih ise çekirdek ve Arm, Imagination Technologies, MediaTek, Unisoc ve Qualcomm gibi bileşenlerdeki tüm güvenlik açıklarını içeren Kasım bültenindeki her yamayı kapsar.

Google, telefon üreticilerinin tüm Android cihazlar için ortak bir dizi düzeltmeyi daha erken gönderebilmesi için iki tarih belirler ve onları bültendeki her düzeltmeyi dahil etmeye teşvik eder. Android 10 veya sonraki sürümleri çalıştıran telefonlar, Google Play sistem güncellemeleri aracılığıyla da bazı düzeltmeleri alabilir. Bu ayki güncellemeler listesi, başka bir kritik güvenlik açığı olan CVE-2026-58876’yı içermektedir. Ancak CVE-2026-58868 bu listede yer almadığından, kontrol edilmesi gereken tarih Android güvenlik güncellemesidir. Güncellemeyi henüz yükleyemeyen telefonlar için bültende herhangi bir geçici çözüm sunulmamıştır.

Android’in Metin Mesajı Kodundaki Uzaktan Hizmet Reddi Güvenlik Açığı

Başka bir kritik güvenlik açığı olan CVE-2026-58882, CVE kaydına göre, kullanıcı etkileşimi olmadan uzaktan hizmet reddi saldırısına izin verebilir. Bu açık, SMS yoluyla gelen WAP Push mesajları için Android’in kodundaki decodeWapPdu fonksiyonunda bulunmaktadır. 29 Ekim’de, Mark B takma adıyla yayın yapan bir araştırmacı, aynı fonksiyondaki bir hata hakkında “SMS of Death” başlıklı bir yazı yayınladı. Ancak bülten veya CVE kaydı, CVE-2026-58882’nin bu hata olup olmadığını belirtmemektedir.

Yazıya göre, hatalı biçimlendirilmiş tek bir WAP Push mesajı com.android.phone uygulamasını çökertir ve acil durum aramaları da dahil olmak üzere tüm aktif aramaları sonlandırır. Çeşitli telefon modelleri üzerinde yapılan testlerde, çökme her seferinde meydana gelmiştir. Saldırganın yalnızca hedefin telefon numarasına ihtiyacı vardır ve mesaj gelen kutusunda asla görünmez. Telefon her başladığında mesajı yeniden denediği için, mesaj kaldırılana kadar başlangıçta çökebilir. Böyle bir mesajı bir telefondan diğerine gönderen bir “proof-of-concept” uygulaması herkese açıktır. Araştırmacıya göre, Android 12 ve 13 çalıştıran telefonlar aynı kodu kullanmasına rağmen, daha yeni sürümlerin aldığı düzeltmeyi almamaktadır.

Diğer Kritik Güvenlik Açıkları

Google’ın Kasım bülteni, 23’ü Kritik olarak derecelendirilen toplam 216 güvenlik açığını listelemektedir. Uzaktan kod yürütmeye izin verebilecek iki kritik güvenlik açığı daha bulunmaktadır: Her ikisi de Android’in Sistem bileşeninde yer alan CVE-2026-58876 ve CVE-2026-58936. Çekirdekte altı kritik güvenlik açığı bulunmakta olup, bunlardan ikisi Bluetooth kodundadır. En ciddi çekirdek güvenlik açığı, uzaktan bir saldırganın kullanıcı etkileşimi olmadan yükseltilmiş ayrıcalıklar elde etmesine olanak tanıyabilir.

2026-11-05 yama seviyesi ayrıca MediaTek modem kodundaki ve kapalı kaynaklı bir Qualcomm bileşenindeki kritik güvenlik açıklarını da düzeltmektedir. MediaTek, Kasım bülteninde, kritik modem güvenlik açıklarını sınır dışı yazma hataları olarak tanımlamakta ve herhangi bir aktif istismardan haberdar olmadığını belirtmektedir.