Google, Kasım 2026 Android güvenlik bültenini 2 Kasım’da yayımladı. Bülten, Android’in çekirdek bileşenlerinde düzeltilen 150 açığı listeliyor. Cihazın yama seviyesi 2026-11-05 ya da üzerindeyse bu açıkların tamamı kapatılmış oluyor.
En ciddi açık Framework bileşeninde
Bültenin en yüksek riskli maddesi, Framework bileşenindeki CVE-2026-58868 numaralı kritik açık. Google’ın tanımına göre bu açık, ek bir çalıştırma yetkisi gerektirmeden uzaktan kod çalıştırmaya yol açabiliyor. Sömürü için kullanıcının bir bağlantıya dokunması ya da bir dosya açması da gerekmiyor.
System bileşeninde iki kritik uzaktan kod çalıştırma açığı daha var: CVE-2026-58876 ve CVE-2026-58936. Kernel tarafında ise altı kritik yetki yükseltme açığı bulunuyor. Bu tür açıklar tek başına cihazı ele geçirmiyor ama kötü amaçlı bir uygulamanın sistem seviyesine çıkmasının önünü açabiliyor.
150 açığın dağılımı
AOSP tarafındaki dört bölümdeki dağılım şöyle:
- Framework: 65 açık
- System: 53 açık
- Kernel bileşenleri: 31 açık
- Android runtime: 1 açık
Bu 150 açığın 14’ü kritik seviyede. Kritiklerin dağılımı bir Framework, yedi System ve altı Kernel açığı şeklinde. Bültenin tamamında ise yonga üreticilerinin (Arm, MediaTek, Qualcomm, Unisoc, Imagination) bölümleri de dahil olmak üzere 200’ü aşkın CVE numarası geçiyor.
Bültenin bir bölümü Project Mainline kapsamındaki modülleri ilgilendiriyor. Media Codecs, MediaProvider, Telephony ve WiFi bileşenlerindeki düzeltmeler Google Play sistem güncellemesiyle de dağıtılabiliyor. Android 10 ve sonrasındaki cihazlar bu yamaları üretici güncellemesini beklemeden alabiliyor. Google, AOSP kaynak kod yamalarını bültenin yayımından sonraki 48 saat içinde paylaşacağını belirtiyor.
Kullanıcılar ne yapmalı
Telefonda Ayarlar > Güvenlik (bazı modellerde Ayarlar > Sistem > Sistem güncellemesi) yolundan yeni güncelleme var mı bakılabilir. Güncelleme sonrası yama seviyesinin 2026-11-05 olup olmadığı Android sürüm bilgisi ekranından doğrulanabilir.
Yamayı dağıtma süresi üreticiye göre değişiyor. Samsung, Xiaomi, Oppo gibi markalarda güncelleme bültenin yayımından haftalar sonra gelebildiği için bu süre boyunca cihaz bültendeki açıklara karşı savunmasız kalıyor. Play Store > Profil > Ayarlar > Google Play sistem güncellemesi adımından Mainline yamaları ayrıca kontrol edilebilir.
Bültendeki açıkların hiçbiri şu an CISA’nın aktif sömürülen açıklar listesinde görünmüyor. Yine de Framework ve System bölümündeki uzaktan kod çalıştırma açıkları, kullanıcı etkileşimi gerektirmediği için güncellemenin ertelenmemesi gerekiyor.
Kaynak: Android Security Bulletin, Kasım 2026 (Google)
Deneyimini paylaş
Bir sorunun, farklı bir çözümün veya eklemek istediğin bir notun var mı? Giriş yapmadan da yazabilirsin.