Pada 2 November 2026, Google menerbitkan Buletin Keselamatan Android bagi bulan November. Ia membetulkan 216 kelemahan, 23 daripadanya kritikal dan 193 tinggi. Yang paling teruk ialah kelemahan dalam komponen Framework yang membolehkan penyerang menjalankan kod pada telefon dari jauh, tanpa sebarang sentuhan daripada pemiliknya dan tanpa keistimewaan tambahan. Apa yang perlu anda lakukan hari ini mudah sahaja: minta setiap pekerja yang membuka e-mel syarikat, WhatsApp Business atau aplikasi bank pada telefon Android supaya memasang kemas kini, kemudian memastikan tarikh «Kemas kini keselamatan Android» dalam Tetapan menunjukkan 5 November 2026 atau lebih baharu. Telefon yang menggunakan Android 13 atau lebih lama tidak akan menerima pembetulan ini, kerana buletin hanya meliputi versi 14 hingga 17.
Apa sebenarnya yang dibetulkan oleh Google?
Menurut Buletin Keselamatan Android November 2026, pembetulan datang dalam dua peringkat. Peringkat 1 November meliputi 119 kelemahan, 8 daripadanya kritikal, dalam bahagian teras sistem seperti Framework, System dan masa jalan. Peringkat 5 November meliputi 97 kelemahan, 15 daripadanya kritikal, dalam kernel Linux (31 kelemahan) dan dalam komponen pengeluar cip: MediaTek (30), Qualcomm (17 merentas bahagian terbuka dan tertutup), Imagination (12), Unisoc (4) dan Arm (3). Telefon pada peringkat 5 November dilindungi daripada kelemahan dalam kedua-dua peringkat.
Google menyatakan kelemahan paling serius (CVE-2026-58868) boleh membawa kepada pelaksanaan kod dari jauh tanpa memerlukan keistimewaan pelaksanaan tambahan dan tanpa interaksi pengguna. Bahagian System mengandungi dua lagi kelemahan kritikal daripada jenis yang sama (CVE-2026-58876 dan CVE-2026-58936), serta tiga kelemahan kritikal peningkatan keistimewaan.
Satu mesej yang memutuskan panggilan: kelemahan WAP Push
Antara kelemahan kritikal ialah pepijat penafian perkhidmatan (CVE-2026-58882). Laporan CyberInsider menjelaskan bahawa satu mesej WAP Push yang rosak sudah cukup untuk meruntuhkan proses telefon Android, lalu memutuskan panggilan yang sedang berlangsung, termasuk panggilan kecemasan, tanpa mesej itu muncul dalam peti masuk dan tanpa penerima membuka apa-apa. Lebih teruk, mesej berulang boleh mencetuskan keruntuhan semula walaupun selepas telefon dimulakan semula. Bahagian yang melegakan: laporan itu belum menemui eksploitasi sebenar setakat ini. Namun kod bukti konsep sudah didedahkan kepada umum, bermakna jarak antara pendedahan dan serangan mungkin singkat.
Bayangkan seorang wakil jualan atau pemandu penghantaran yang bergantung pada telefonnya sepanjang hari, dan panggilannya terputus setiap kali tiba mesej yang tidak pernah dilihatnya. Ini bukan kebocoran data, tetapi kerja terhenti.
Bilakah kemas kini sampai ke telefon Samsung?
Samsung menerbitkan Keluaran Penyelenggaraan Keselamatan November 2026 pada 3 November. Ia merangkumi pembetulan Google dan empat tampalan Samsung Semiconductor, dan menyatakan tambahan 24 item khusus Galaxy. Namun buletin yang diterbitkan tidak bermakna setiap peranti menerima kemas kini pada hari itu: ia dilancarkan secara berperingkat mengikut model dan rantau, dan sesetengah model lama menerima kemas kini keselamatan setiap tiga bulan, bukan setiap bulan. Jadi jangan berpuas hati dengan «sudah kemas kini?». Minta tarikh yang dipaparkan dalam Tetapan.
5 langkah untuk telefon syarikat anda minggu ini
- Senaraikan telefon: setiap telefon Android yang digunakan pekerja untuk mengakses e-mel, sistem atau aplikasi bank syarikat, sama ada telefon syarikat atau milik peribadi.
- Semak tarikh keselamatan: menurut halaman bantuan Google, ia berada dalam Tetapan di bawah «Perihal telefon» atau «Keselamatan», dengan label «Kemas kini keselamatan Android». Sasarannya 2026-11-05 atau lebih baharu sebaik sahaja tersedia untuk model tersebut.
- Pasang juga kemas kini sistem Google Play: sebahagian pembetulan 1 November tiba melaluinya, dan ia dipaparkan dalam tetapan yang sama dengan tarikhnya sendiri.
- Anggap peranti lama sebagai risiko yang diketahui: telefon yang tersekat pada Android 13 atau lebih lama berada di luar buletin ini. Jauhkan ia daripada akaun syarikat yang sensitif dan rancang penggantiannya.
- Jadikan peraturan automatik: alat pengurusan peranti seperti Microsoft Intune membolehkan anda menetapkan tahap tampalan keselamatan minimum, supaya peranti yang lebih lama disekat daripada e-mel dan sistem sehingga ia dikemas kini.
Adakah aplikasi Android syarikat anda terjejas?
Kelemahan ini berada dalam sistem pengendalian itu sendiri, bukan dalam aplikasi anda, jadi anda tidak perlu mengubah kod kerananya. Namun aplikasi anda berjalan di atas sistem itu: jika ia memaparkan data pelanggan atau menerima bayaran, telefon yang tidak ditampal melemahkan perlindungan yang telah anda bina. Sesetengah aplikasi bank menggunakan API Play Integrity untuk menolak peranti yang tidak selamat, dan aplikasi perniagaan yang sensitif boleh melakukan perkara yang sama. Jika anda mengedarkan aplikasi dalaman di luar gedung, baca juga artikel kami tentang sekatan Google terhadap pemasangan dari luar gedung.
Pandangan Origami
Kebanyakan pencerobohan tidak bermula dengan pelayan syarikat. Ia bermula dengan peranti pekerja yang menyimpan e-mel, mesej dan kata laluannya. Kemas kini bulanan adalah percuma dan mengambil masa beberapa minit, tetapi dalam syarikat yang tiada siapa memantaunya, ia tidak berlaku dengan sendirinya. Jadikan semakan tarikh keselamatan sebagai tugas tetap pada awal setiap bulan, sama seperti menyemak e-mel mencurigakan yang kami terangkan dalam artikel tentang e-mel pancingan data. Apabila kami membina aplikasi dan sistem tersuai, kami menambah semakan integriti peranti dan versi sistem sebelum memaparkan sebarang data sensitif. Jika anda mahukan semakan peranti pasukan atau aplikasi anda, hubungi kami atau lihat perkhidmatan kami.
Sumber
- Google — Buletin Keselamatan Android, November 2026: bilangan kelemahan, peringkat tampalan, komponen terjejas dan versi Android 14 hingga 17.
- Samsung — Kemas Kini Keselamatan Mudah Alih (SMR Nov-2026): tarikh terbit, tampalan Samsung Semiconductor dan item Galaxy.
- Google — Bantuan Android: menyemak dan mengemas kini versi Android: lokasi tarikh kemas kini keselamatan dalam Tetapan.
- CyberInsider — kemas kini Android November dan kelemahan WAP Push: cara CVE-2026-58882 berfungsi dan bukti konsep yang didedahkan kepada umum.
Soalan lazim
Bagaimana saya tahu telefon Android saya sudah menerima kemas kini November 2026?
Buka Tetapan, kemudian «Perihal telefon» atau «Keselamatan», dan cari «Kemas kini keselamatan Android». Jika tarikhnya 5 November 2026 atau lebih baharu, telefon dilindungi daripada semua kelemahan dalam buletin November; jika 1 November, hanya sebahagian sahaja.
Adakah kemas kini November sampai ke telefon yang menggunakan Android 13?
Tidak. Buletin Google November 2026 hanya meliputi Android 14, 15, 16 dan 17. Telefon yang tersekat pada Android 13 atau lebih lama kekal terdedah, jadi jauhkan ia daripada akaun syarikat yang sensitif dan rancang penggantiannya.
Adakah penyerang benar-benar telah mengeksploitasi kelemahan ini?
Buletin Google tidak menyebut sebarang eksploitasi sebenar, dan laporan CyberInsider juga tidak menemuinya bagi kelemahan WAP Push. Namun kod bukti konsep bagi kelemahan itu sudah didedahkan kepada umum, jadi lebih baik kemas kini minggu ini daripada menunggu.
Perlukah saya mengubah aplikasi Android syarikat saya kerana kelemahan ini?
Tidak, kelemahan itu berada dalam sistem pengendalian, bukan dalam aplikasi anda. Namun jika aplikasi anda memaparkan data sensitif atau menerima bayaran, anda boleh menambah semakan integriti peranti melalui Play Integrity untuk menolak peranti yang tidak selamat.
