Android Open Source Projectは11月2日、2026年11月のセキュリティ情報を公開した。公開情報にある問題は、セキュリティパッチレベル2026-11-05以降で対処される。パートナーには公開の少なくとも1カ月前に通知済みで、対応するソースのパッチは公開から48時間以内にAOSPへ入る、と案内されている。
公開文が最も深刻とするのはFrameworkのCVE-2026-58868である。種類はリモートコード実行、深刻度はCriticalで、追加の実行権限は不要、ユーザー操作も不要とされている。影響するAOSPのバージョンは14、15、16、16-qpr2、17だ。Systemにも同じ条件のCriticalなリモートコード実行があり、CVE-2026-58876とCVE-2026-58936がAndroid 14から17を対象に並ぶ。深刻度の評価は、開発目的でプラットフォームとサービスの緩和策を切っているか、それらを回避できた場合の影響に基づく。
2026-11-05の区分には、カーネル側のBluetoothやpKVM、ベンダーのモデムなど、端末共通ではないコンポーネントも含まれる。2026-11-01の区分だけでは、こちらの修正は埋まらない。アプリや端末フリートを扱うなら、セキュリティパッチレベルが2026-11-05以降かを確認する。緩和策が有効な製品版での悪用条件は、この公開情報だけでは分からない。