בעדכון האבטחה שגוגל פרסמה ב-2 בנובמבר יש שורה אחת שמסבירה למה שווה להתקין אותו עוד השבוע. חולשה שמסומנת CVE-2026-58868 מאפשרת, לפי גוגל, להריץ קוד על הטלפון מרחוק, בדרגת חומרה קריטית, ובלי שום פעולה מצד מי שמחזיק בו. אין לחיצה ואין התקנה.

מה קרה

העדכון החודשי מרכז 216 חולשות, 23 מהן בדרגה קריטית. זו שקיבלה את תשומת הלב יושבת באזור של פענוח מדיה: בפונקציה onOutputReceived בקובץ FrameDecoder.cpp יש כתיבה מחוץ לגבולות, שנגרמת מגלישה של buffer בזיכרון ה-heap. בפועל הקוד שמפרסר את המדיה כותב נתונים מחוץ לשטח שהוקצה לו, ומי שמצליח לשלוט במה שנכתב שם יכול לדחוף לשם קוד משלו ולגרום למכשיר להריץ אותו. לסוג החולשה הזה קוראים heap buffer overflow.

מה שגוגל לא אומרת זה איך תוקף מגיע לקוד הזה בפועל. לא ההודעה ולא רשומת החולשה מפרטות דרך תקיפה, ודירוג "קריטי" של גוגל מניח ממילא שההגנות המובנות באנדרואיד ובשירותי גוגל כבויות או נעקפו. עד ה-4 בנובמבר גוגל לא דיווחה על ניצול בפועל של אף חולשה בעדכון, ואף אחת מהן לא נכנסה לרשימת החולשות המנוצלות של CISA, סוכנות הסייבר האמריקאית, בעדכון מה-3 בנובמבר. גוגל מציינת שאנדרואיד 14, 15, 16 ו-17 מושפעים. אנדרואיד 12 ו-13 לא מופיעים ברשימה, והיא לא אומרת אם הקוד הפגיע נמצא גם בהם.

בעדכון הזה יש גם המשך לסיפור שסיקרנו בתחילת החודש. חולשה קריטית נוספת, CVE-2026-58882, יושבת בפונקציה שמפרסרת הודעות WAP Push שמגיעות ב-SMS, ולפי רשומת החולשה היא מאפשרת להפיל את השירות מרחוק בלי מעורבות המשתמש. ב-29 באוקטובר פרסם חוקר שמפרסם בשם Mark B ניתוח של באג באותה פונקציה, שהוא כינה "SMS of Death" וכתבנו עליו כאן. אם מדובר באותו באג, לא ההודעה של גוגל ולא רשומת החולשה אומרות את זה.

למה זה חשוב לכם

כמעט כל טלפון אנדרואיד בישראל מקבל את העדכונים האלה, אבל לא באותו יום. גוגל מפרסמת את ההודעה, ויצרני המכשירים והמפעילים הסלולריים שולחים את העדכון בלוחות זמנים משל עצמם. לכן מה שקובע אם אתם מוגנים הוא לא תאריך הפרסום של גוגל אלא תאריך אחד במכשיר שלכם, רמת עדכון האבטחה. רמה 2026-11-01 ואילך מכסה את CVE-2026-58868 ואת שאר החולשות ברכיבי ה-Framework, ה-System וה-runtime. רמה 2026-11-05 ואילך מכסה את כל החולשות שבעדכון, כולל אלה שבליבת המערכת ובחלקים של Arm, Imagination Technologies, MediaTek, Unisoc ו-Qualcomm.

למי שמחזיק אנדרואיד 12 או 13 התמונה פחות טובה: את חולשת ה-WAP Push גוגל לא מתקנת שם, והחוקר אומר שאותו קוד רץ באותן גרסאות.

מה עושים?

בדקו את רמת עדכון האבטחה: הגדרות, ואז אודות הטלפון או מידע על המכשיר. הניסוח משתנה בין יצרנים, אבל השדה שאתם מחפשים הוא "רמת תיקון האבטחה" או Android security update. אם התאריך מוקדם מ-1 בנובמבר 2026, יש לכם עדכון להתקין.

בקשו בדיקת עדכונים ידנית במקום לחכות להתראה. יצרנים דוחים אותה לפעמים בכמה ימים.

עדכנו גם דרך חנות Play. מכשירים מאנדרואיד 10 ומעלה מקבלים חלק מהתיקונים בעדכוני מערכת של Google Play, והם נפרדים מעדכון האבטחה של היצרן.

אם המכשיר שלכם כבר לא מקבל עדכונים, שקלו להחליף אותו. גוגל לא מציעה שום דרך ביניים למי שלא יכול להתקין את התיקון.

העדכון החודשי הוא הדבר היחיד באבטחת סמארטפונים שעובד גם בשביל מי שלא מתעניין בנושא. צריך רק לתת לו להיכנס.