Google menerbitkan Android Security Bulletin untuk November 2026 pada 2 November. Buletin itu memuat perbaikan untuk 216 kerentanan, dan 23 di antaranya berstatus kritis, menurut laporan The Hacker News pada 4 November. Celah yang paling disorot adalah CVE-2026-58868 di komponen Framework, yang bisa memungkinkan eksekusi kode jarak jauh tanpa hak tambahan dan tanpa interaksi pengguna.
Celah kritis yang perlu diketahui
Buletin resmi mencantumkan tiga celah eksekusi kode jarak jauh berstatus kritis: CVE-2026-58868 di Framework, serta CVE-2026-58876 dan CVE-2026-58936 di komponen System. Ketiganya mengenai Android 14, 15, 16, 16-qpr2, dan 17. Menurut The Hacker News, CVE-2026-58868 berupa heap buffer overflow di fungsi pemroses frame, dan perbaikannya tidak termasuk dalam pembaruan sistem lewat Google Play. CVE-2026-58876 justru tercakup di jalur pembaruan Google Play.
Daftar kritis juga memuat CVE-2026-58882 di pemroses pesan WAP Push lewat SMS, yang bisa menjatuhkan layanan telepon dari jarak jauh. Seorang peneliti sudah menerbitkan tulisan teknis tentang celah itu pada 29 Oktober. Peneliti tersebut menyebut Android 12 dan 13 memakai kode yang sama tetapi tidak menerima perbaikan. Google belum menjelaskan hal ini.
Selain itu, enam celah kritis berada di kernel, dua di antaranya di kode Bluetooth. Modem MediaTek dan satu komponen tertutup Qualcomm juga mendapat label kritis. MediaTek menyatakan tidak mengetahui adanya eksploitasi aktif. Google menilai tingkat kritis dengan asumsi perlindungan bawaan Android dan layanan Google dimatikan atau dilewati. Per 4 November, belum ada celah dari buletin ini yang tercatat dalam katalog KEV milik CISA.
Langkah yang perlu diambil pengguna
Buletin memakai dua tingkat patch. Patch level 2026-11-01 menutup celah di Framework, System, dan Android runtime, termasuk CVE-2026-58868. Patch level 2026-11-05 atau lebih baru menutup seluruh celah dalam buletin, termasuk kernel serta komponen vendor chip seperti MediaTek, Unisoc, dan Qualcomm. Targetkan 2026-11-05 jika produsen ponsel Anda sudah merilisnya.
Untuk mengecek, buka Pengaturan, masuk ke Tentang ponsel, lalu lihat tanggal pembaruan keamanan Android dan pembaruan sistem Google Play. Pasang pembaruan sistem Google Play lebih dulu karena itu menutup CVE-2026-58876 tanpa menunggu produsen. Google tidak menyediakan mitigasi untuk perangkat yang belum bisa diperbarui, jadi ponsel yang sudah tidak menerima patch sebaiknya tidak dipakai untuk akun penting seperti perbankan.
Bagi pengguna di Indonesia, jadwal patch bergantung pada merek dan model. Produsen biasanya menyusul beberapa hari hingga minggu setelah Google. Aktifkan pembaruan otomatis dan periksa ulang dalam seminggu ke depan.
Sumber: Android Security Bulletin November 2026 dan The Hacker News. Gambar: The Hacker News.