Android नवंबर 2026 सुरक्षा अपडेट 216 खामियां ठीक करता है, एक बिना टैप के काम करती है: क्या आपकी टीम के फ़ोन अपडेट हैं?

2 नवंबर 2026 को Google ने नवंबर का Android सुरक्षा बुलेटिन जारी किया। यह 216 कमज़ोरियां ठीक करता है, जिनमें 23 गंभीर (क्रिटिकल) और 193 उच्च स्तर की हैं। सबसे ख़राब खामी Framework कंपोनेंट में है, जिससे हमलावर दूर से फ़ोन पर कोड चला सकता है, वह भी मालिक के किसी टैप के बिना और बिना अतिरिक्त अनुमतियों के। आज आपको जो करना है वह आसान है: हर उस कर्मचारी से, जो Android फ़ोन पर कंपनी का ईमेल, WhatsApp Business या कोई बैंकिंग ऐप खोलता है, कहें कि वह अपडेट इंस्टॉल करे और जांचे कि सेटिंग्स में «Android सुरक्षा अपडेट» की तारीख 5 नवंबर 2026 या उसके बाद की है। Android 13 या उससे पुराने वर्ज़न वाले फ़ोन को यह सुधार नहीं मिलेगा, क्योंकि बुलेटिन केवल 14 से 17 तक के वर्ज़न को कवर करता है।

Google ने ठीक-ठीक क्या ठीक किया?

नवंबर 2026 के Android सुरक्षा बुलेटिन के अनुसार सुधार दो स्तरों में आते हैं। 1 नवंबर का स्तर 119 कमज़ोरियों को कवर करता है, जिनमें 8 गंभीर हैं, और ये Framework, System और रनटाइम जैसे सिस्टम के मुख्य हिस्सों में हैं। 5 नवंबर का स्तर 97 कमज़ोरियों को कवर करता है, जिनमें 15 गंभीर हैं, और ये Linux कर्नेल (31 खामियां) और चिप निर्माताओं के कंपोनेंट में हैं: MediaTek (30), Qualcomm (ओपन और क्लोज़्ड सोर्स हिस्सों में कुल 17), Imagination (12), Unisoc (4) और Arm (3)। 5 नवंबर के स्तर वाला फ़ोन दोनों स्तरों की खामियों से सुरक्षित है।

Google के अनुसार सबसे गंभीर खामी (CVE-2026-58868) से रिमोट कोड एक्ज़ीक्यूशन हो सकता है, जिसके लिए न अतिरिक्त अनुमतियों की ज़रूरत है और न ही उपयोगकर्ता की किसी कार्रवाई की। System सेक्शन में इसी तरह की दो और गंभीर खामियां हैं (CVE-2026-58876 और CVE-2026-58936), साथ ही अनुमतियां बढ़ाने वाली तीन गंभीर खामियां भी।

एक संदेश जो कॉल काट देता है: WAP Push खामी

गंभीर खामियों में एक डिनायल-ऑफ़-सर्विस बग भी है (CVE-2026-58882)। CyberInsider की रिपोर्ट बताती है कि एक ही ग़लत ढंग से बना WAP Push संदेश Android की फ़ोन प्रक्रिया को क्रैश करने के लिए काफ़ी है। इससे चल रही कॉल, आपातकालीन कॉल समेत, कट जाती हैं, जबकि संदेश इनबॉक्स में दिखता तक नहीं और पाने वाले को कुछ खोलना भी नहीं पड़ता। इससे भी बुरा यह कि बार-बार आने वाले संदेश रीस्टार्ट के बाद भी क्रैश दोबारा ला सकते हैं। राहत की बात यह है कि रिपोर्ट को अब तक कोई वास्तविक दुरुपयोग नहीं मिला। लेकिन प्रूफ़-ऑफ़-कॉन्सेप्ट कोड सार्वजनिक है, यानी खुलासे और हमलों के बीच का समय छोटा हो सकता है।

कल्पना कीजिए एक सेल्स प्रतिनिधि या डिलीवरी ड्राइवर की, जो पूरा दिन फ़ोन पर काम करता है, और हर बार कोई ऐसा संदेश आने पर उसकी कॉल कट जाती है जिसे वह कभी देखता ही नहीं। यह डेटा लीक नहीं है, लेकिन काम रुक जाता है।

Samsung फ़ोन तक अपडेट कब पहुंचेगा?

Samsung ने 3 नवंबर को अपनी नवंबर 2026 सुरक्षा मेंटेनेंस रिलीज़ प्रकाशित की। इसमें Google के सुधार और Samsung Semiconductor के चार पैच शामिल हैं, और कंपनी के अनुसार इसमें Galaxy से जुड़े 24 बिंदु जोड़े गए हैं। लेकिन बुलेटिन प्रकाशित होने का मतलब यह नहीं कि हर डिवाइस को उसी दिन अपडेट मिल जाए: यह मॉडल और क्षेत्र के हिसाब से चरणों में आता है, और कुछ पुराने मॉडल को सुरक्षा अपडेट हर महीने के बजाय हर तीन महीने में मिलते हैं। इसलिए «क्या तुमने अपडेट किया?» पूछकर संतुष्ट न हों। सेटिंग्स में दिख रही तारीख मांगें।

इस हफ़्ते आपकी कंपनी के फ़ोन के लिए 5 कदम

• फ़ोन की सूची बनाएं: हर वह Android फ़ोन जिससे कोई कर्मचारी कंपनी के ईमेल, सिस्टम या बैंकिंग ऐप तक पहुंचता है, चाहे वह कंपनी का फ़ोन हो या उसका अपना।
• सुरक्षा तारीख जांचें: Google के सहायता पेज के अनुसार यह सेटिंग्स में «फ़ोन के बारे में» या «सुरक्षा» के नीचे «Android सुरक्षा अपडेट» नाम से मिलती है। लक्ष्य है 2026-11-05 या उसके बाद की तारीख, जैसे ही वह मॉडल के लिए उपलब्ध हो।
• Google Play सिस्टम अपडेट भी इंस्टॉल करें: 1 नवंबर के कुछ सुधार इसी के ज़रिए आते हैं, और यह उन्हीं सेटिंग्स में अपनी अलग तारीख के साथ दिखता है।
• पुराने डिवाइस को जाना-पहचाना जोखिम मानें: Android 13 या उससे पुराने वर्ज़न पर अटका फ़ोन इस बुलेटिन से बाहर है। उसे कंपनी के संवेदनशील खातों से दूर रखें और उसे बदलने की योजना बनाएं।
• नियम को स्वचालित बनाएं: Microsoft Intune जैसे डिवाइस मैनेजमेंट टूल न्यूनतम सुरक्षा पैच स्तर तय करने देते हैं, ताकि पुराना डिवाइस अपडेट होने तक ईमेल और सिस्टम से बाहर रहे।

क्या आपकी कंपनी का Android ऐप प्रभावित है?

ये खामियां ख़ुद ऑपरेटिंग सिस्टम में हैं, आपके ऐप में नहीं, इसलिए इनकी वजह से आपको अपना कोड बदलने की ज़रूरत नहीं है। लेकिन आपका ऐप इसी सिस्टम पर चलता है: अगर वह ग्राहकों का डेटा दिखाता है या भुगतान लेता है, तो बिना पैच वाला फ़ोन आपकी बनाई सुरक्षा को कमज़ोर करता है। कुछ बैंकिंग ऐप असुरक्षित डिवाइस को रोकने के लिए Play Integrity API का उपयोग करते हैं, और संवेदनशील बिज़नेस ऐप भी यही कर सकते हैं। और अगर आप स्टोर के बाहर कोई आंतरिक ऐप बांटते हैं, तो स्टोर के बाहर से इंस्टॉल करने पर Google की पाबंदियों वाला हमारा लेख भी पढ़ें।

Origami की राय

ज़्यादातर सेंधमारी कंपनी के सर्वर से शुरू नहीं होती। वह किसी कर्मचारी के डिवाइस से शुरू होती है, जिसमें उसका ईमेल, संदेश और पासवर्ड होते हैं। मासिक अपडेट मुफ़्त है और कुछ मिनट लेता है, लेकिन जिस कंपनी में कोई इस पर नज़र नहीं रखता, वहां यह अपने आप नहीं होता। सुरक्षा तारीख की जांच को हर महीने की शुरुआत का एक तय काम बनाइए, ठीक वैसे ही जैसे संदिग्ध ईमेल की समीक्षा, जिसके बारे में हमने फ़िशिंग ईमेल वाले लेख में बताया था। जब हम कस्टम ऐप और सिस्टम बनाते हैं, तो कोई भी संवेदनशील डेटा दिखाने से पहले डिवाइस इंटीग्रिटी और सिस्टम वर्ज़न की जांच जोड़ते हैं। अगर आप अपनी टीम के डिवाइस या अपने ऐप की समीक्षा चाहते हैं, तो हमसे संपर्क करें या हमारी सेवाएं देखें।

स्रोत

• Google — Android सुरक्षा बुलेटिन, नवंबर 2026: कमज़ोरियों की संख्या, पैच स्तर, प्रभावित कंपोनेंट और Android 14 से 17 तक के वर्ज़न।
• Samsung — मोबाइल सुरक्षा अपडेट (SMR Nov-2026): प्रकाशन तिथि, Samsung Semiconductor के पैच और Galaxy बिंदु।
• Google — Android सहायता: Android वर्ज़न जांचें और अपडेट करें: सेटिंग्स में सुरक्षा अपडेट की तारीख कहां मिलती है।
• CyberInsider — Android का नवंबर अपडेट और WAP Push खामी: CVE-2026-58882 कैसे काम करती है और सार्वजनिक प्रूफ़-ऑफ़-कॉन्सेप्ट।