עדכון האבטחה של Android לנובמבר 2026 כולל תיקון לחולשה שמאפשרת לתוקף מרוחק להריץ קוד על המכשיר. הציון הוא 9.8 מתוך 10, ולפי הרשומה אין צורך בשום פעולה מצד המשתמש כדי שהניצול יעבוד. לא ידוע על ניצול בשטח.

מה החולשה?

תוכנה שמקבלת נתונים מבחוץ מקצה להם מקום בזיכרון לפי הגודל שהיא מצפה לו. אם מה שהגיע גדול מהמקום שהוקצה והתוכנה אינה בודקת את זה, היא כותבת גם מעבר לגבול. בצד השני של הגבול יושב זיכרון של דברים אחרים, ומי שקובע מה ייכתב עליהם הוא מי ששלח את הנתונים. לכשל הזה קוראים כתיבה מחוץ לתחום, והסיווג שניתן לו הוא CWE-787. כשהגבול נפרץ באזור שמוקצה בזמן ריצה, קוראים לזה גם heap buffer overflow, וזה מה שהרשומה מציינת כאן.

הרשומה מצביעה על מקום אחד ומדויק: הפונקציה onOutputReceived בקובץ FrameDecoder.cpp. השמות אומרים מה הקוד הזה עושה, מקבל פריימים שיצאו מפענוח, ולא באיזה רכיב של המערכת הוא יושב. את זה הרשומה אינה אומרת.

ומכאן לחלק שקובע את הציון. הדירוג אומר תקיפה מהרשת, מורכבות נמוכה, בלי הרשאות מוקדמות, והרשומה מוסיפה במפורש שההרצה אינה דורשת הרשאות נוספות ושאין צורך באינטראקציה של המשתמש. כלומר אין כאן קישור שצריך ללחוץ עליו ואין קובץ שצריך לפתוח.

חולשה שאינה מבקשת מהקורבן דבר היא חולשה שהקורבן לא יכול להיזהר ממנה. מה שנשאר הוא העדכון.

מי מושפע?

כאן יש פער שחשוב להצביע עליו: הרשומה אינה מונה גרסאות. היא אינה אומרת אילו גרסאות Android מושפעות ואינה נוקבת בגרסה מתקנת, וההפניה היחידה בה היא לעדכון האבטחה של Android לנובמבר 2026. משם אנחנו יודעים באיזו מערכת מדובר, ושם מתפרסמת גם רשימת הגרסאות.

Android היא מערכת ההפעלה הנפוצה בטלפונים בישראל, ולכן חולשה במערכת עצמה נוגעת למספר גדול של מכשירים. מה שכן, בלי רשימת גרסאות אין דרך לומר מתוך הרשומה אם המכשיר שבכיס שלכם בטווח.

הדבר המעשי שנגזר מכאן אינו לחכות לתשובה על השאלה הזאת אלא להסתכל על תאריך: מכשיר שכבר קיבל את עדכון האבטחה של נובמבר 2026 מכוסה, ומכשיר שטרם קיבל אותו הוא המכשיר ששווה לטפל בו עכשיו.

האם מנוצלת בפועל?

לא ידוע על ניצול בשטח. החולשה אינה מופיעה בקטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA, הרשימה שמרכזת חולשות שיש עדות לשימוש אמיתי בהן, וזה המצב לפי העדכון האחרון של הרשומה ב-5 בנובמבר 2026.

הרשומה פורסמה ב-2 בנובמבר 2026, שלושה ימים לפני כן. בחולשה כל כך טרייה היעדר ניצול ידוע הוא בעיקר היעדר זמן, ולא הצהרה על מה שיקרה בהמשך. הרשומה גם אינה מפנה לקוד ניצול ציבורי ואינה מפנה למחקר שמסביר את הנתיב.

מה שכן אפשר לומר הוא שהמאפיינים, פנייה מהרשת בלי הרשאות ובלי אינטראקציה, הם מה שהופך חולשה לשווה מאמץ בעיני מי שמחפש נתיב תקיפה.

מה עושים?

1. בדקו את תאריך עדכון האבטחה במכשיר. בהגדרות, מערכת, עדכוני מערכת; בחלק מהמכשירים המסלול הוא הגדרות, אודות הטלפון, גרסת Android, ואז עדכון אבטחה של Android. התאריך שאתם מחפשים הוא 1 בנובמבר 2026 או מאוחר ממנו.

2. אם התאריך מוקדם מזה, בדקו באותו מסך אם יש עדכון זמין והתקינו אותו. העדכון מגיע מיצרן המכשיר ולא מגוגל ישירות, ולכן הוא מופיע אצל יצרנים שונים בזמנים שונים, ולפעמים בהפרש של שבועות.

3. אם היצרן עדיין לא שלח אותו, אין ברשומה הגדרה או מעקף שסוגרים את הנתיב בינתיים, וחשוב לא להמציא אחד. מכשיר שאינו מקבל עוד עדכוני אבטחה מהיצרן גם לא יקבל את התיקון הזה בכלל, וזה שיקול בפני עצמו לגבי המשך השימוש בו.

4. בדקו את התאריך גם במכשירים שאינם הטלפון הראשי: טאבלט ששוכב בבית, טלפון של ילד, מכשיר ישן שנשאר בשימוש משני. אלה בדיוק המכשירים שלא מתעדכנים, מפני שאף אחד לא מסתכל עליהם.