Android Kasım 2026 Güvenlik Güncellemesi: 216 Açık, Kritik CVE-2026-58868 ve “SMS of Death”

Bültenin özeti (Android Security Bulletin November 2026)

Konu	Değer
Yayın tarihi	2 Kasım 2026
Toplam açık	216
Kritik	23
Yama seviyeleri	2026-11-01 (Framework, System, Android runtime, Play sistem güncellemesi) · 2026-11-05 (ek olarak çekirdek, Arm, Imagination, MediaTek, Unisoc, Qualcomm)
Etkilenen sürümler (kritik Framework açığı)	Android 14, 15, 16, 16 QPR2, 17
Bilinen istismar	Bültende yok; CISA KEV'de yok (3 Kasım itibarıyla)

Google, AOSP kaynak kodu yamalarını bülten yayımlandıktan sonraki 48 saat içinde açacağını ve bülteni bağlantılarla güncelleyeceğini belirtiyor. Önem derecelerinin, platformun ve Google hizmetlerinin koruma katmanlarının kapalı ya da aşılmış olduğu varsayımıyla verildiğini de not ediyor.

CVE-2026-58868: Framework'te uzaktan kod çalıştırma (Remote code execution)

Açık, FrameDecoder.cpp içindeki onOutputReceived işlevinde yığın taşmasından kaynaklanan sınır dışı yazma. Bülten, ek ayrıcalık ya da kullanıcı etkileşimi gerekmeden uzaktan kod çalıştırılabileceğini söylüyor. Saldırganın bu koda nasıl ulaşacağı (ör. özel hazırlanmış bir medya dosyası) bültende ve CVE kaydında açıklanmamış.

Düzeltme Android 14, 15, 16, 16 QPR2 ve 17 için yayımlandı. Android 12 ve 13 listede yok; bu, o sürümlerin etkilenmediği anlamına gelmiyor, yalnız Google'ın artık güvenlik yaması vermediği sürümler oldukları için listelenmiyorlar. Bu açık Google Play sistem güncellemesi listesinde olmadığı için kapandığını telefonun "Android güvenlik güncellemesi" tarihinden anlarsınız.

CVE-2026-58882 ve "SMS of Death"

CVE-2026-58882, WAP Push mesajlarını çözen decodeWapPdu işlevinde, kullanıcı etkileşimi gerektirmeyen uzaktan hizmet reddi açığı. Aynı işlevdeki bir hata 29 Ekim'de bir araştırmacı tarafından "SMS of Death" adıyla yazılmıştı: tek bir bozuk WAP Push mesajı com.android.phone sürecini çökertiyor ve acil arama dahil süren aramayı kesiyor. Saldırganın yalnız hedefin telefon numarasını bilmesi yetiyor; mesaj gelen kutusunda görünmüyor ve telefon her açılışta mesajı yeniden işlemeye çalışıyor.

Bülten ve CVE kaydı, CVE-2026-58882'nin araştırmacının anlattığı hatayla aynı olduğunu açıkça doğrulamıyor. Araştırmacıya göre Android 12 ve 13 aynı kodu çalıştırıyor ama yama almıyor. Kamuya açık bir kavram kanıtı uygulaması bulunduğu için bu açığın kapatılması özellikle önemli.

Diğer kritik açıklar (Other critical issues)

• System, uzaktan kod çalıştırma: CVE-2026-58876 ve CVE-2026-58936. CVE-2026-58876 Medya kodekleri bileşeni üzerinden Google Play sistem güncellemesiyle de dağıtılıyor.
• System, yetki yükseltme: CVE-2026-55275, CVE-2026-55283, CVE-2026-58984. Hizmet reddi: CVE-2026-58814.
• Çekirdek (2026-11-05): Bluetooth'ta CVE-2026-53256 ve CVE-2026-89774, pKVM'de CVE-2026-59044 ve CVE-2026-59045, HID'de CVE-2026-80604 (yetki yükseltme), pKVM'de CVE-2026-59048 (bilgi sızması).
• MediaTek modem: sekiz kritik açık (CVE-2026-20499, 20519, 20520, 20545–20549). MediaTek etkin istismar bilmediğini söylüyor.
• Qualcomm kapalı kaynak bileşen: CVE-2026-25285, ayrıntı açıklanmadı.

Google Play sistem güncellemesi (Project Mainline) ile ayrıca Medya kodekleri, MediaProvider, Telefon çekirdeği (Telephony) ve Wi-Fi modüllerindeki açıklar dağıtılıyor. Bu kısım üreticinin aylık yamasını beklemeden Play üzerinden gelir.

Telefonunuzda yama seviyesi nasıl kontrol edilir? (Check security patch level)

1. Ayarlar → Telefon hakkında → Android sürümü.
2. "Android güvenlik güncellemesi" satırına bakın: 2026-11-01 ya da sonrası Framework/System açıklarını, 2026-11-05 ya da sonrası tüm bülteni kapatır.
3. "Google Play sistem güncellemesi" satırına dokunun ve güncelleme olup olmadığını denetleyin.
4. Ayarlar → Sistem → Yazılım güncelleme ile bekleyen güncellemeyi yükleyin.

Pixel dışındaki telefonlar yamayı üreticinin ve operatörün takvimiyle alır. Samsung Kasım 2026 güvenlik yamasının içeriğini açıkladı, Galaxy cihazlara dağıtımın önümüzdeki günlerde başlaması bekleniyor; diğer üreticilerde gecikme haftalar sürebilir. Güncelleme alamayan telefonlar için bültende geçici bir önlem verilmiyor.

Şirket telefonları ve mobil uygulama geliştiriciler

• MDM kullananlar: cihaz envanterinde yama seviyesi 2026-11-01'den eski cihazları listeleyin; Android 12 ve 13 çalıştıran cihazlar yama almayacağı için değiştirme planına alınmalı.
• Saha çalışanları: "SMS of Death" acil aramayı da kestiği için güvenlik görevlileri, sağlık ve kurye ekiplerinin telefonları öncelikli güncellenmeli.
• Uygulama geliştiriciler: açıklar işletim sisteminde, uygulama kodunda değişiklik gerekmiyor. Yine de medya dosyası işleyen uygulamalar (fotoğraf, video, belge) kullanıcıdan gelen dosyaları sistem kodekleriyle çözdüğü için, kullanıcılarınıza güncelleme önermek yerinde olur. Alesta WEB'in mobil uygulama geliştirme projelerinde hedef SDK ve en düşük Android sürümü kararları da bu destek takvimine göre veriliyor.

Sık sorulan sorular

Telefonum Android 13, ne yapmalıyım?

Android 13 artık aylık güvenlik yaması almıyor. Üreticiniz Android 14 ya da üstüne yükseltme sunuyorsa yükleyin; sunmuyorsa telefonu değiştirmeyi planlayın. Google Play sistem güncellemeleri bir kısmını kapatsa da Framework açıkları için yeterli değil.

"SMS of Death" mesajını nasıl silerim?

Mesaj gelen kutusunda görünmediği için kullanıcı tarafından silinmesi zor. Kalıcı çözüm yamadır; telefon her açılışta çöküyorsa üreticinin servisine başvurun.

Play Protect bu açıklara karşı korur mu?

Play Protect zararlı uygulamaları tarar; medya dosyası ya da SMS ile tetiklenen sistem açıklarını kapatmaz. Güncelleme gerekir.

İlgili sayfalar: Mobil uygulama geliştirme · Chrome 156 · İletişim

Kapak fotoğrafı: www.Pixel.la Free Stock Photos / Wikimedia Commons (CC0)