谷歌修复安卓零点击RCE漏洞CVE-2026-58868

爱拍照的老李
爱拍照的老李

爱拍照的老李

2026年11月6日 09:00
湖北

去阅读

导读

安卓严重漏洞CVE-2026-58868可在运行安卓14至17系统的设备上实现无需用户交互的远程代码执行。

谷歌已修复 CVE-2026-58868 这一影响 14 至 17 版本的严重安卓漏洞。该漏洞是因onOutputReceived函数在FrameDecoder.cpp中存在堆缓冲区溢出导致的严重安卓漏洞。

此漏洞会触发越界写入，可能使远程攻击者在受影响设备上执行任意代码。利用该漏洞既无需用户交互，也不需要额外的执行权限，使其成为潜在的零点击攻击。

“CVE-2026-58868 在 FrameDecoder.cpp 的 onOutputReceived 函数中，由于堆缓冲区溢出，可能存在越界写入漏洞。”该安全公告指出：“这可能导致远程代码执行，且无需额外的执行权限。利用该漏洞也不需要用户交互。”

设备将通过2026年11月1日或之后的安全补丁级别获取修复，具体取决于制造商和运营商。谷歌在其2026年11月的公告中表示，未发现这些漏洞被主动利用的情况。

谷歌2026年11月安卓安全公告解决了216个漏洞，其中23个被评为严重等级。其中两个漏洞CVE-2026-58876和CVE-2026-58936影响系统组件，可在无需用户交互的情况下允许远程代码执行。

该公告还列出了该系统组件中的另外五个高危漏洞。其中三个可能导致权限提升，另外两个则可能造成拒绝服务状态。另有一个高危漏洞影响框架组件，同样可能允许远程代码执行。

安卓内核存在六个关键漏洞。其中两个涉及蓝牙代码，三个影响受保护的基于内核的虚拟机（pKVM），还有一个存在于人机接口设备（HID）组件中。最严重的内核漏洞可让远程攻击者无需用户交互即可获取更高权限。

11月5日的补丁级别还修复了联发科调制解调器代码和高通闭源组件中的高危漏洞。谷歌的公告列出了联发科调制解调器的8个高危漏洞，而联发科自身的11月安全公告则详细说明了其中6个漏洞：CVE-2026-20499 以及 CVE-2026-20545 至 CVE-2026-20549。

联发科将这六个漏洞描述为因缺少边界检查、整数溢出或输入验证不当而导致的越界写入漏洞。该公司表示，目前未发现任何在野被主动利用的情况。

高通的这一问题被追踪为 CVE-2026-25285，影响一个闭源组件。谷歌在其公告中未提供进一步的技术细节。

谷歌修复的关键问题之一是 CVE-2026-58882（又称死亡短信），该漏洞可能让攻击者通过发送特制短信远程禁用手机。此漏洞影响负责处理 WAP 推送消息的decodeWapPdu函数，WAP 推送消息是通过短信基础设施传递的一类内容。

该漏洞尤其令人担忧，因为据报道，利用该漏洞无需用户交互。攻击者只需获取受害者的电话号码，即可发送恶意信息。该信息不会出现在短信收件箱中，因此受害者可能完全不知道问题是如何引发的。

该问题还引发了人们对攻击期间移动通信可靠性的担忧。根据安全研究员马克·B于10月29日发布的一份技术分析，格式错误的WAP推送消息可能会导致com.android.phone崩溃，该安卓系统组件负责处理电话功能。此次崩溃可能会终止正在进行的通话，包括紧急呼叫。

据报道，对多款安卓手机型号的测试均能稳定复现该崩溃现象。由于安卓系统会在设备每次启动时重新尝试处理这条恶意消息，手机还可能陷入崩溃循环。最终，设备可能会持续崩溃，直到该违规消息被移除为止。

不过有一个重要的区别。谷歌的安全公告和CVE记录都指出了存在漏洞的decodeWapPdu函数，但两者均未明确证实CVE-2026-58882与研究人员发布的“死亡短信”报告中描述的问题是同一回事。这两份报告在技术层面存在重合，值得进一步探究，但在未获得更多确认之前，不应将它们认定为确切描述了同一个漏洞。

谷歌官方安全公告：

https://source.android.com/docs/security/bulletin/2026/2026-11-01

新闻链接：

https://securityaffairs.com/202414/mobile-2/cve-2026-58868-critical-android-bug-could-let-attackers-run-remote-code.html

扫码关注

爱拍照的老李

讲述普通人能听懂的安全故事