พบช่องโหว่ใน Android เวอร์ชัน 14–17 เสี่ยงถูกโจมตีโดยไม่ต้องโต้ตอบจากผู้ใช้ - Thailand Computer Emergency Response Team (ThaiCERT)泰国计算机应急响应小组（ThaiCERT）发现，Android 14 至 17 版本存在漏洞，可能允许攻击者在无需用户交互的情况下发起攻击。
608/69 Thursday, November 5, 2026 Google เผยแพร่อัปเดตค
608/69 Thursday, November 5, 2026
Google เผยแพร่อัปเดตความปลอดภัยประจำเดือนพฤศจิกายน 2569 เพื่อแก้ไขช่องโหว่หมายเลข CVE-2026-58868 ระดับ Critical ในระบบปฏิบัติการ Android เวอร์ชัน 14, 15, 16, 16 QPR2 และ 17 ซึ่งเป็นช่องโหว่ในส่วนประกอบ Framework ที่อาจเปิดโอกาสให้ผู้โจมตีสามารถรันคำสั่งที่เป็นอันตราย (RCE) ได้ โดยไม่จำเป็นต้องมีสิทธิ์เพิ่มเติมหรืออาศัยการโต้ตอบจากผู้ใช้งาน ทั้งนี้ ยังไม่มีข้อมูลยืนยันว่าช่องโหว่ดังกล่าวถูกนำไปใช้โจมตีจริง
ช่องโหว่เกิดจากข้อผิดพลาดในการจัดการหน่วยความจำประเภท Heap Buffer Overflow ภายในฟังก์ชัน onOutputReceived ของไฟล์ FrameDecoder.cpp ซึ่งอาจทำให้เกิดการเขียนข้อมูลเกินขอบเขตหน่วยความจำที่จัดสรรไว้ (Out-of-Bounds Write) ซึ่งผู้โจมตีอาจใช้ประโยชน์จากข้อผิดพลาดดังกล่าวเพื่อทำให้ระบบทำงานผิดปกติหรือนำไปสู่การรันคำสั่งที่เป็นอันตรายบนอุปกรณ์ได้ อย่างไรก็ตาม Google ยังไม่ได้เปิดเผยรายละเอียดเกี่ยวกับช่องทางหรือรูปแบบข้อมูลที่ใช้ในการโจมตี
ผู้ใช้งานและผู้ดูแลระบบควรตรวจสอบและติดตั้งอัปเดตความปลอดภัยบนอุปกรณ์ Android ที่ได้รับผลกระทบ โดยช่องโหว่ CVE-2026-58868 ได้รับการแก้ไขผ่านอัปเดตความปลอดภัยวันที่ 1 พฤศจิกายน 2569 หรือใหม่กว่า ทั้งนี้ เพื่อให้ครอบคลุมช่องโหว่ทั้งหมดที่ได้รับการแก้ไขในเดือนพฤศจิกายน ควรอัปเดตเป็นระดับแพตช์วันที่ 5 พฤศจิกายน 2569 หรือใหม่กว่าเมื่อผู้ผลิตเผยแพร่อัปเดตแล้ว โดยสามารถตรวจสอบเวอร์ชันและระดับแพตช์ผ่านเมนูการตั้งค่าอุปกรณ์ ผู้ดูแลระบบขององค์กรควรติดตามสถานะการอัปเดตและตรวจสอบอุปกรณ์ที่ยังไม่ได้รับแพตช์ เพื่อลดความเสี่ยงจากช่องโหว่ดังกล่าว
แหล่งข่าว : https://securityaffairs.com/202414/mobile-2/cve-2026-58868-critical-android-bug-could-let-attackers-run-remote-code.html
608/69 2026年11月5日，星期四
谷歌发布了 2026 年 11 月安全更新，修复了 Android 14、15、16、16QPR2 和 17 版本中的一个严重漏洞 CVE-2026-58868。该漏洞存在于 Framework 组件中，攻击者可以利用此漏洞在无需额外权限或用户交互的情况下执行恶意命令（远程代码执行）。目前尚未确认该漏洞已被利用。
该漏洞源于FrameDecoder.cpp文件中onOutputReceived函数的堆缓冲区溢出错误。这可能导致越界写入，攻击者可以利用此漏洞造成系统故障或在设备上执行恶意命令。然而，谷歌尚未披露有关攻击途径或攻击方法的详细信息。
用户和管理员应检查并安装受影响安卓设备上的安全更新。CVE-2026-58868 漏洞已通过 2026 年 11 月 1 日或之后发布的安全更新修复。为覆盖 11 月份修复的所有漏洞，用户应在制造商发布更新后尽快更新至 2026 年 11 月 5 日或之后的补丁级别。补丁版本和级别可通过设备设置菜单查看。组织管理员应监控更新状态并检查未打补丁的设备，以降低此漏洞的风险。
来源：https://securityaffairs.com/202414/mobile-2/cve-2026-58868-critical-android-bug-could-let-attackers-run-remote-code.html