Technisch handelt es sich um einen möglichen Out-of-Bounds-Schreibzugriff infolge eines Heap-Pufferüberlaufs in der Funktion onOutputReceived der Datei FrameDecoder.cpp. Weder das Bulletin noch der CVE-Eintrag beschreibt, auf welchem Weg ein Angreifer diesen Code erreichen kann. Die Einstufung als kritisch geht davon aus, dass die in Android und in Googles Diensten eingebauten Schutzmechanismen abgeschaltet oder umgangen sind. Ältere Versionen wie Android 12 und 13 sind nicht als betroffen aufgeführt; Googles Angaben lassen offen, ob sie den Fehler enthalten.

Mit Stand 4. November meldete Googles Bulletin keine Angriffe auf die beschriebenen Schwachstellen. Keine davon stand im Stand vom 3. November im Katalog bekannter ausgenutzter Schwachstellen der US-Behörde CISA. Für Geräte, die das Update noch nicht installieren können, nennt das Bulletin keinen Workaround.

Den eigenen Patch-Stand prüft man laut Googles Hilfeseite so:

  • Einstellungen öffnen.
  • „Über das Telefon“ beziehungsweise „Über das Tablet“ und dann „Android-Version“ antippen.
  • Die Daten für das Android-Sicherheitsupdate und das Google-Play-Systemupdate ablesen.

Das Datum des Android-Sicherheitsupdates entspricht dem Sicherheitspatch-Level. Ein Datum ab 2026-11-01 deckt CVE-2026-58868 sowie die übrigen Lücken in den Komponenten Framework, System und Android-Runtime ab. Ein Datum ab 2026-11-05 deckt sämtliche Schwachstellen des November-Bulletins ab, einschließlich derer im Kernel und in Komponenten von Arm, Imagination Technologies, MediaTek, Unisoc und Qualcomm. Google verwendet zwei Daten, damit Hersteller den für alle Android-Geräte gemeinsamen Teil der Korrekturen früher ausliefern können, empfiehlt ihnen aber, alle Fixes des Bulletins aufzunehmen.

Geräte ab Android 10 erhalten einen Teil der Korrekturen auch über Google-Play-Systemupdates. Auf deren Liste steht in diesem Monat eine weitere kritische Lücke, CVE-2026-58876. CVE-2026-58868 gehört nicht dazu – maßgeblich ist dafür das Datum des Android-Sicherheitsupdates.

Eine zweite kritische Schwachstelle, CVE-2026-58882, ermöglicht laut ihrem CVE-Eintrag einen Denial-of-Service aus der Ferne ohne Nutzerinteraktion. Sie steckt in decodeWapPdu, einer Funktion in Androids Code für WAP-Push-Nachrichten, die per SMS eintreffen. Am 29. Oktober veröffentlichte ein Forscher, der unter dem Namen Mark B publiziert, eine Analyse mit dem Titel „SMS of Death“ zu einem Fehler in derselben Funktion. Ob es sich dabei um CVE-2026-58882 handelt, geht weder aus dem Bulletin noch aus dem CVE-Eintrag hervor.

Der Analyse zufolge genügt eine einzige fehlerhaft aufgebaute WAP-Push-Nachricht, um com.android.phone zum Absturz zu bringen und laufende Gespräche zu beenden – auch Notrufe. In Tests mit mehreren Telefonmodellen trat der Absturz jedes Mal auf. Der Angreifer braucht nur die Rufnummer des Ziels, die Nachricht taucht im Posteingang nicht auf. Das Gerät versucht die Zustellung bei jedem Start erneut, sodass es bis zum Entfernen der Nachricht beim Hochfahren abstürzen kann. Eine Proof-of-Concept-App, die eine solche Nachricht von einem Telefon an ein anderes schickt, ist öffentlich. Android 12 und 13 führen nach Angaben des Forschers denselben Code aus, erhalten den Fix für die neueren Versionen aber nicht.

Insgesamt führt Googles November-Bulletin 216 Schwachstellen auf, 23 davon als kritisch bewertet. Zwei weitere kritische Lücken können Remote-Codeausführung ermöglichen: CVE-2026-58876 und CVE-2026-58936, beide in der System-Komponente von Android. Sechs kritische Lücken betreffen den Kernel, zwei davon Bluetooth-Code; die schwerste Kernel-Lücke könnte einem entfernten Angreifer ohne Nutzerinteraktion erhöhte Rechte verschaffen. Das Patch-Level 2026-11-05 behebt zudem kritische Fehler in MediaTek-Modemcode und in einer Closed-Source-Komponente von Qualcomm. MediaTek beschreibt seine kritischen Modem-Lücken in seinem eigenen November-Bulletin als Out-of-Bounds-Schreibzugriffe und erklärt, von einer aktiven Ausnutzung sei nichts bekannt.