要点
- Google は Android の11月のセキュリティ更新を出し、合わせて200件を超える欠陥を直した。
- いちばん重い欠陥は、利用者が何もしなくても、外からスマホの中でプログラムを動かされるおそれがあるものだ。
- 今のところ、悪用されたという記述は Google の発表にない。それでも、全員が自分のスマホの「セキュリティパッチレベル」を確かめたほうがよい。
何が起きたか
Google は2026年11月2日（米国時間。日本時間では11月3日）に、Android Security Bulletin（Android のセキュリティ情報）の11月版を出した。
いちばん重い欠陥は、Android の土台の部分「Framework」にある CVE-2026-58868 だ。Google はこれを、4段階でいちばん上の「Critical（重大）」とした。Google の説明では、この欠陥を使うと遠くからコードを動かされる（リモートコード実行）おそれがある。そのために特別な権限は要らない。利用者がリンクを押すといった操作も要らない。
ほかにも「重大」とされた欠陥がいくつもある。Android の「System」の部分には、遠くからコードを動かされる欠陥や、アプリが本来より強い権限を得られる欠陥がある。スマホの心臓部（カーネル）の Bluetooth や仮想化の仕組みにも欠陥があった。MediaTek の通信用チップ（モデム）や、Qualcomm の部品にも重大な欠陥がある。
Google は、重さの判定について一つ断りを入れている。Android にはもともと攻撃を防ぐ仕組みがいくつもあるが、判定はそれが効かなかった場合を前提にしている。つまり「重大」は、どれだけひどいことが起こりうるかの目安である。すぐにそのまま乗っ取られるという意味ではない。
悪用されているかどうかについて、11月版には「悪用が確かめられた」という書き込みがない。これまでの月には、悪用された欠陥に「限られた、狙いを定めた悪用のおそれ」という注記が付いたことがある。今月の情報には、その注記もない。
日本の利用者への影響
Android は、日本でも多くの人が使っている。Google が挙げた対象は Android 14・15・16・17 だ。日本で売られている多くの機種がここに入る。
一部の欠陥は、特定の部品を使う機種だけに当たる。MediaTek・Qualcomm・Unisoc などのチップのことだ。どの機種が当たるかは、メーカーの発表を見るしかない。Google の発表には、日本での被害についての記述はない。
配信の状況は次のとおりだ。
- Galaxy（Samsung）: 実際にいつ届くかは、機種と通信会社によって違う。
- Pixel（Google）: 11月3日の時点で、Pixel の11月の更新情報はまだ出ていない。Google によると、Pixel には、その更新情報が出た日から更新が届き始める。
- 国内メーカー機（Sharp、Sony、FCNT、京セラなど）や通信会社が売る機種: Google の修正を取り込んでから配るので、届くのは Pixel や Galaxy より遅れることが多い。届く時期は、各メーカーや通信会社のアップデート情報のページで確かめる必要がある。
今すぐやること
- パッチレベルを見る。 「設定」→「端末情報」（または「デバイス情報」「デバイスについて」）→「Android バージョン」の中に、「Android セキュリティ アップデート」や「セキュリティパッチレベル」という日付がある。「2026年11月5日」以降なら、今回の欠陥はすべて直っている。「2026年11月1日」なら、一部が残っている。
- 更新を探して入れる。 「設定」→「システム」→「システム アップデート」（Galaxy は「ソフトウェア更新」）から確かめる。届いていたら、Wi-Fi につないで入れる。
- Google Play システム アップデートも入れる。 「設定」→「セキュリティとプライバシー」などにある。Google によると、メディアの処理や Wi-Fi などの一部の欠陥は、この仕組みでも直る。メーカーの更新が遅い機種では、これだけでも入れておく。
- まだ届かない間は、知らないアプリを入れない。 Google Play の外からアプリを入れない。Google Play プロテクト（アプリを自動で調べる機能）は入れたままにする。
- 更新が止まった古い機種は、買い替えを考える。 今回 Google が対象にしたのは Android 14 以降だ。Android 13 以前のまま、パッチレベルが長く古い機種には、今回のような修正が届かないおそれがある。仕事で使う機種なら、早めに替えるよう会社に相談する。
背景
Android のセキュリティ情報では、修正は2段階に分かれる。「11月1日」の段階は Android そのものの修正だ。「11月5日」の段階は、それにカーネルやチップのメーカーの部品の修正を足したものだ。
Android は、Google が直してもすぐには全員に届かない。メーカーが自社の機種に合わせて作り直し、通信会社の確認を経てから配るからだ。このため、同じ月の更新でも、機種によって届くのが数週間から数か月遅れることがある。メーカーが更新をやめた機種には、届かない。
利用者が何もしなくても攻撃されうる欠陥は、これまでも Android で見つかってきた。メディアの処理や通信の部分に多い。こうした欠陥は、悪用が見つかってからでは遅い。パッチレベルを毎月見るのが、いちばん確かな守り方だ。
技術者向けの詳細
- 一次情報: Android Security Bulletin—November 2026（2026-11-02 公開）。AOSP のパッチは公開から48時間以内に出すとされ、その後に情報へリンクが足される。
- 最重要: CVE-2026-58868（Framework、A-486464711、RCE、Critical、AOSP 14 / 15 / 16 / 16-qpr2 / 17）
- 2026-11-01 の段階にある Critical の欠陥:
- System RCE: CVE-2026-58876、CVE-2026-58936
- System EoP: CVE-2026-55275、CVE-2026-55283、CVE-2026-58984
- System DoS: CVE-2026-58814、CVE-2026-58882
- 2026-11-05 の段階にある Critical の欠陥:
- Kernel: Bluetooth（CVE-2026-53256、CVE-2026-89774）、pKVM（CVE-2026-59044、CVE-2026-59045、CVE-2026-59048）、HID（CVE-2026-80604）
- MediaTek Modem: CVE-2026-20499、-20519、-20520、-20545〜-20549
- Qualcomm closed-source: CVE-2026-25285
- 件数（bulletin の表から）: 2026-11-01 の段階は Android runtime 1、Framework 65、System 53。2026-11-05 の段階は Kernel 31、Arm 3、Imagination 12、MediaTek 30、Unisoc 4、Qualcomm 9、Qualcomm closed-source 8。
- Google Play システム アップデート（Mainline）の対象: Media Codecs、MediaProvider、Telephony、WiFi など。CVE-2026-58876 も含まれる。
- 悪用されているかについて、bulletin に記述はない（2026-11-03 時点）。
- 端末のパッチレベルを adb で見る:
adb shell getprop ro.build.version.security_patch
2026-11-05 以降なら、この情報にある欠陥はすべて直っている。
- Pixel: 11月の Pixel Update Bulletin は 2026-11-03 時点で未公開。
- MDM で管理している組織は、パッチレベルが 2026-11-05 より古い機種を一覧にし、配信が止まった機種を入れ替える計画を立てるとよい。
