Null-klikk-sårbarhet i Android: November-oppdateringen tetter 216 hull, 23 av dem kritiske

Blant feilene som lukkes denne måneden, er en kritisk sårbarhet i Android Framework som gjør det mulig å kjøre kode på telefonen uten at brukeren åpner en lenke, laster ned en fil eller gjør noe som helst. Sårbarheten har fått betegnelsen CVE-2026-58868 og rammer Android 14, 15, 16, 16 QPR2 og 17.

Totalt tetter november-oppdateringen 216 CVE-er, hvorav 23 er klassifisert som kritiske og resten som høy alvorlighetsgrad. Oppdateringen rulles ut i to lag: patch-nivået 2026-11-01 dekker 119 feil i Framework, System og Android Runtime, mens 2026-11-05 legger til 97 feil i kjernen og i komponenter fra Arm, Imagination Technologies, MediaTek, Unisoc og Qualcomm.

Null klikk, bare én melding er nok

CVE-2026-58868 er en klassisk «no-interaction RCE»: en fjernkjøring av kode som verken krever at telefonen er låst opp, at eieren tapper på noe, eller at det kommer et varsel først. Teknisk er det snakk om et heap-overskridelses-skrivefelt i mediekomponenten `FrameDecoder.cpp`, som angriperen kan utløse via en spesielt utformet mediefil.

Google skriver selv at feilen kan føre til «remote code execution with no additional execution privileges needed» og at «user interaction is not needed for exploitation». Det er den samme typen klasse som NSOs Pegasus-leveranser har brukt tidligere: man får en melding, og telefonen er kompromittert før man i det hele tatt har sett den.

Les også: Falske pakke-SMS-er fra Posten og DHL øker før jul: Slik avslører du dem

Det finnes foreløpig ingen bekreftede tilfeller av at hullet er utnyttet aktivt, men siden tre av de kritiske feilene i november er fjernkjøringsfeil som ikke krever brukerinteraksjon, er hastverket reelt.

«SMS of Death» kan slå ut nødsamtaler

Den andre feilen som har fått mest oppmerksomhet, er CVE-2026-58882, døpt «SMS of Death». En spesialutformet WAP Push-melding kan krasje prosessen com.android.phone og dermed avbryte alle pågående samtaler, inkludert nødsamtaler. Meldingen dukker ikke opp i innboksen og krever ingen handling fra mottakeren.

Ifølge analysen hos CyberInsider skyldes feilen en manglende sjekk ved heltall-konvertering i `WapPushOverSms.java`, der en meldingslengde kan ende opp som et negativt tall og dermed utløse en unntakshåndtering som river beinet under telefonikomponenten. Rettelsen ligger i patch-nivået 2026-11-01 for Android 14 til 17.

Slik sjekker du at telefonen er beskyttet

Patch-nivået står oppført direkte i telefonen. På de fleste Android-modeller finner du det ved å gå inn i Innstillinger, deretter Sikkerhet og personvern (eller Om telefonen på eldre versjoner), og lete etter linjen «Android-sikkerhetsoppdatering». Står det 5. november 2026 eller senere, har telefonen alle rettelsene fra november-bulletinen. Står det 1. november 2026, har den de fleste av dem, men mangler kjerne- og chip-fiksene.

Les også: Lader du elbilen om natta: To ting du bør vite om pris og brannrisiko hjemme

Pixel-eiere får oppdateringen først, mens Samsung, Xiaomi, OnePlus og andre produsenter har sine egne utrullingsplaner, det tar typisk dager til flere uker før alle modeller får den. Google har også tidligere brukt Play-systemoppdateringer til å dytte ut akuttrettelser uten å vente på produsentene, og 17 av november-feilene er allerede distribuert den veien.

Har du en eldre Android som ikke lenger er på Googles supportliste, dekker november-bulletinen ikke din modell, Pixel 6 mistet for eksempel sikkerhetsstøtten 1. oktober.

Les også: To prisøkninger på én høst: Her er den billigste hurtigladingen i Norge nå