Android 2026年11月のセキュリティアップデートで216件の脆弱性を修正、うち1件はタップ不要：社員のスマホは更新済みですか？

2026年11月2日、Googleは11月のAndroidセキュリティに関する公開情報を発表しました。216件の脆弱性を修正し、そのうち23件が重大、193件が高です。最も深刻なのはFrameworkコンポーネントの脆弱性で、持ち主が一度もタップすることなく、追加の権限もなしに、攻撃者が遠隔からスマホ上でコードを実行できます。今日やるべきことはシンプルです。Androidスマホで会社のメール、WhatsApp Business、銀行アプリを開くすべての社員にアップデートをインストールしてもらい、「設定」の「Androidセキュリティアップデート」の日付が2026年11月5日以降になっていることを確認してもらいましょう。Android 13以前のスマホにはこの修正は届きません。公開情報の対象はバージョン14から17だけだからです。

Googleは具体的に何を修正したのか？

2026年11月のAndroidセキュリティに関する公開情報によると、修正は2つのレベルで提供されます。11月1日のレベルは、Framework、System、ランタイムなどシステムの中核部分にある119件の脆弱性（うち8件が重大）を対象とします。11月5日のレベルは、Linuxカーネル（31件）とチップメーカーのコンポーネントにある97件の脆弱性（うち15件が重大）を対象とします。内訳はMediaTek（30件）、Qualcomm（オープンソースとクローズドソースの部分で計17件）、Imagination（12件）、Unisoc（4件）、Arm（3件）です。11月5日のレベルのスマホは、両方のレベルの脆弱性から保護されます。

Googleによると、最も深刻な脆弱性（CVE-2026-58868）は、追加の実行権限もユーザーの操作も必要とせずに、リモートでのコード実行につながるおそれがあります。Systemのセクションには同じ種類の重大な脆弱性がさらに2件（CVE-2026-58876とCVE-2026-58936）あり、加えて権限昇格の重大な脆弱性が3件あります。

1通のメッセージで通話が切れる：WAP Pushの脆弱性

重大な脆弱性の中には、サービス拒否のバグ（CVE-2026-58882）もあります。CyberInsiderのレポートによると、不正な形式のWAP Pushメッセージが1通あるだけでAndroidの電話プロセスがクラッシュし、緊急通報を含む通話中の通話が切れます。メッセージは受信トレイに表示されず、受信者が何かを開く必要もありません。さらに悪いことに、メッセージが繰り返し届くと、再起動後でもクラッシュが再発することがあります。安心できる点として、レポートはこれまでに実際の悪用を確認していません。しかし概念実証コードは公開されており、公表から攻撃までの時間は短いかもしれません。

一日中スマホで仕事をする営業担当者や配達ドライバーを想像してください。見えないメッセージが届くたびに通話が切れてしまいます。これはデータ漏えいではありませんが、仕事が止まります。

Samsungのスマホにはいつ届くのか？

Samsungは11月3日に2026年11月のセキュリティメンテナンスリリースを公開しました。Googleの修正とSamsung Semiconductorの4件のパッチを含み、Galaxy固有の項目を24件追加したとしています。ただし、公開情報が出たからといって、すべての端末に当日アップデートが届くわけではありません。モデルと地域ごとに段階的に配信され、一部の古いモデルではセキュリティアップデートが毎月ではなく3か月ごとになります。ですから「更新した？」で済ませず、「設定」に表示されている日付を聞きましょう。

今週、自社のスマホで行う5つのステップ

• スマホを洗い出す：社員が会社のメール、システム、銀行アプリにアクセスするすべてのAndroidスマホ。会社支給か私物かは問いません。
• セキュリティの日付を確認する：Googleのヘルプページによると、「設定」の「デバイス情報」または「セキュリティ」に「Androidセキュリティアップデート」として表示されます。そのモデルで提供され次第、2026-11-05以降にしましょう。
• Google Playシステムアップデートも入れる：11月1日の修正の一部はこちらで届き、同じ設定画面に別の日付で表示されます。
• 古い端末は既知のリスクとして扱う：Android 13以前のままのスマホは今回の公開情報の対象外です。会社の重要なアカウントから遠ざけ、買い替えを計画してください。
• ルールを自動化する：Microsoft Intuneなどのデバイス管理ツールでは最低限のセキュリティパッチレベルを設定でき、古い端末は更新されるまでメールやシステムにアクセスできなくなります。

自社のAndroidアプリは影響を受けるのか？

これらの脆弱性はアプリではなくOSそのものにあるため、それを理由にコードを変更する必要はありません。しかしアプリはそのOSの上で動いています。顧客データを表示したり決済を受け付けたりするアプリなら、パッチが当たっていないスマホは、せっかく築いた保護を弱めてしまいます。一部の銀行アプリはPlay Integrity APIを使って安全でない端末を拒否しており、機密性の高い業務アプリも同じことができます。また、ストア外で社内アプリを配布しているなら、ストア外からのインストールに対するGoogleの制限についての記事もお読みください。

Origamiの視点

侵入の多くは会社のサーバーからではなく、メール、メッセージ、パスワードが入った社員の端末から始まります。毎月のアップデートは無料で数分で終わりますが、誰も確認しない会社では自然には行われません。セキュリティの日付の確認を毎月初めの定例作業にしましょう。フィッシングメールの記事で紹介した不審なメールの見直しと同じです。私たちがカスタムアプリやシステムを開発するときは、機密データを表示する前に端末の完全性とOSのバージョンをチェックする仕組みを組み込みます。チームの端末やアプリの見直しをご希望なら、お問い合わせいただくか、サービスをご覧ください。

出典

• Google — Androidセキュリティに関する公開情報（2026年11月）：脆弱性の件数、パッチレベル、影響を受けるコンポーネント、Android 14から17のバージョン。
• Samsung — モバイルセキュリティアップデート（SMR Nov-2026）：公開日、Samsung Semiconductorのパッチ、Galaxyの項目。
• Google — Androidヘルプ：Androidのバージョンを確認して更新する：「設定」でセキュリティアップデートの日付が表示される場所。
• CyberInsider — Androidの11月アップデートとWAP Pushの脆弱性：CVE-2026-58882の仕組みと公開された概念実証。