Google'ın kasım 2026 Android bülteni 216 zafiyeti kapattı. Öne çıkan açık, kullanıcı etkileşimi gerektirmeden uzaktan kod çalıştırmaya izin veriyor ve Android 14-17 sürümlerini etkiliyor.
Google, kasım 2026 Android güvenlik bülteninde 216 zafiyeti kapattı. Bunların 23'ü kritik seviyede. Bültenin öne çıkan maddesi, kullanıcı etkileşimi gerektirmeden uzaktan kod çalıştırmaya izin veren CVE-2026-58868 numaralı açık. Zafiyet, medya kod çözme bileşenindeki FrameDecoder.cpp dosyasında yer alan bir yığın taşması hatasından kaynaklanıyor ve Android 14 ile Android 17 arasındaki sürümleri etkiliyor.
Bültende kritik olarak işaretlenen başka maddeler de var. CVE-2026-58882, SMS üzerinden gelen WAP Push mesajlarını işleyen fonksiyonda yine etkileşim gerektirmeyen bir servis dışı bırakma açığı oluşturuyor. Sistem bileşeninde CVE-2026-58876 ve CVE-2026-58936 numaralı iki uzaktan kod çalıştırma açığı bulunuyor. Çekirdek tarafında ikisi Bluetooth kodunda olmak üzere altı kritik açık, ayrıca MediaTek modem ve Qualcomm bileşenlerinde kritik düzeltmeler yer alıyor.
Neden önemli?
Bu açıkların ayırt edici tarafı, kurbanın bir bağlantıya tıklaması veya bir dosya açması gerekmemesi. Saldırgan hazırlanmış bir medya içeriğini veya özel biçimlendirilmiş bir mesajı cihaza ulaştırdığında kodun çalışması mümkün olabiliyor. Google, bülten yayımlandığı tarih itibarıyla bu açıkların saldırılarda kullanıldığına dair bir bulgu olmadığını bildiriyor ve açıkların hiçbiri CISA'nın bilinen sömürülen zafiyetler kataloğunda yer almıyor. Yine de teknik ayrıntılar yayımlandıktan sonra sömürü geliştirme süresinin kısaldığı, geçmiş Android bültenlerinden bilinen bir durum.
Android'de düzeltmeler iki ayrı yama seviyesiyle dağıtılıyor. 2026-11-01 seviyesi çerçeve ve sistem bileşenlerindeki açıkları, 2026-11-05 seviyesi ise çekirdek ve üretici bileşenleri dahil bültenin tamamını kapsıyor. Kritik modem düzeltmeleri ikinci seviyede yer aldığı için, yalnızca 2026-11-05 ve sonrası tam koruma anlamına geliyor.
Şirketler açısından karşılığı ne?
Türkiye'de KOBİ'lerin büyük bölümünde çalışanların kişisel telefonları kurumsal e-postaya, bulut dosya alanlarına ve çoğu zaman VPN'e bağlı. Saha ekipleri, lojistik ve acente operasyonları, şantiye ve üretim tesislerindeki vardiya sorumluları günlük işin önemli bir kısmını telefon üzerinden yürütüyor. Bu cihazların çoğu şirket envanterinde görünmüyor, yama durumu takip edilmiyor ve üreticiye göre güncellemeler haftalar sonra ulaşıyor. Ele geçirilen bir telefon, kurumsal posta kutusuna ve oturum anahtarlarına doğrudan erişim anlamına gelebilir. Kişisel veri içeren yazışmalara bu yolla erişilmesi, KVKK açısından da bildirim gerektiren bir ihlal doğurur.
Kamer Bilişim olarak ne öneriyoruz?
- Kurumsal veriye erişen cihazların envanterini çıkarın. Hangi çalışanın hangi telefondan e-postaya, dosya paylaşımına ve VPN'e bağlandığını listeleyin. Bu liste olmadan yama durumunu takip etmek mümkün değil; çoğu şirkette bu envanter hiç tutulmamış oluyor.
- Yama seviyesini erişim şartı haline getirin. Microsoft 365 veya Google Workspace kullanıyorsanız, mobil cihaz yönetimi politikalarıyla belirli bir güvenlik yama seviyesinin altındaki cihazların kurumsal e-postaya bağlanmasını engelleyebilirsiniz. Eşik olarak 2026-11-05 seviyesini belirlemek doğru bir başlangıç.
- Üretici güncelleme takvimini satın alma kriterine ekleyin. Şirket telefonu alırken cihazın kaç yıl güvenlik güncellemesi alacağını sözleşme öncesinde teyit edin. Güncelleme desteği bitmiş modeller, fiyat avantajı ne olursa olsun kurumsal erişim için uygun değil.
Mobil cihaz yönetimi politikalarının kurulması, kurumsal e-posta erişiminin koşullu hale getirilmesi veya mevcut yapınızın gözden geçirilmesi için iletişim sayfamız üzerinden bize ulaşabilirsiniz. İstanbul Anadolu Yakası genelinde yerinde, diğer bölgelerde uzaktan destek veriyoruz.
Kaynak: The Hacker News, Security Affairs, Android Güvenlik Bülteni (Kasım 2026)
Kaynak: The Hacker News