谷歌修复了一个安卓严重安全漏洞，该漏洞可能在用户无需触摸屏幕或授权任何操作的情况下实现远程代码执行。该漏洞编号为CVE-2026-58868，是2026年11月2日发布的11月安卓安全公告中最严重的一项。
根据官方公告，该漏洞位于系统的Framework组件中，由FrameDecoder.cpp文件onOutputReceived函数中的堆缓冲区溢出引起，这部分代码负责生成缩略图和处理照片、视频等媒体。谷歌将其评为严重级别，因为它可能在无需额外执行权限、无需用户交互的情况下导致远程代码执行。该漏洞影响运行安卓14、15、16、16 QPR2和17的设备。
11月公告共修复216个漏洞，其中23个为严重级别。其中还包括System组件中的另外两个远程代码执行漏洞CVE-2026-58876和CVE-2026-58936，两者的CVSS评分均为9.8分（满分10分）。同一公告还包括绰号为“SMS of Death”（CVE-2026-58882）的漏洞，它可能导致手机通话服务瘫痪，Geekiki已在另一篇文章中报道过该漏洞。
需要说明的是：谷歌表示目前没有发现这些漏洞被实际利用，也没有已知的公开概念验证。公告也没有说明攻击者如何接触到存在漏洞的代码，“零点击”也并不自动意味着任何设备都能通过互联网被攻击。谷歌表示，安卓平台保护机制和Google Play Protect可以降低成功利用的可能性。
修复包含在2026-11-01或更高安全补丁级别中，完整公告需要2026-11-05级别。具体推送时间取决于各厂商和运营商。更值得警惕的是旧设备：据Cybernews引用的分布数据，43.6%的活跃安卓设备仍在运行安卓13或更早版本，这些版本已不再接收安全修复，因此将无法获得该补丁。
如需查看补丁级别，请前往“设置”>“安全”，并在11月更新适用于您的设备时尽快安装。
图片来源：安卓机器人，作者Google / Irina Blok，来自Wikimedia Commons（CC BY 3.0）。
来源：
- 安卓安全公告——2026年11月（谷歌）
- Cybernews — Android zero-click flaw fixed, but many phones may miss patch
- Security Affairs — CVE-2026-58868: Critical Android Bug Could Let Attackers Run Remote Code
透明度声明：本文在人工智能的协助下完成，并与 X 上的公开帖子及互联网来源进行了交叉核对。请务必查阅上方列出的原始来源。
Muse
