Google, 2 Kasım 2026'da Kasım ayı Android Güvenlik Bülteni'ni yayımladı. Bülten 216 güvenlik açığını düzeltiyor; bunların 23'ü kritik, 193'ü yüksek önem derecesinde. En kötüsü, Framework bileşenindeki bir açık: Saldırganın, sahibinin hiçbir dokunuşu olmadan ve ek yetki gerekmeden bir telefonda uzaktan kod çalıştırmasına imkân veriyor. Bugün yapmanız gereken basit: Android telefonda şirket e-postasını, WhatsApp Business'ı ya da bir bankacılık uygulamasını açan her çalışandan güncellemeyi yüklemesini, ardından Ayarlar'daki «Android güvenlik güncellemesi» tarihinin 5 Kasım 2026 ya da sonrası olduğunu kontrol etmesini isteyin. Android 13 ya da daha eski sürümü çalıştıran bir telefon bu düzeltmeyi almayacak, çünkü bülten yalnızca 14 ile 17 arasındaki sürümleri kapsıyor.
Google tam olarak neyi düzeltti?
Kasım 2026 Android Güvenlik Bülteni'ne göre düzeltmeler iki seviyede geliyor. 1 Kasım seviyesi, Framework, System ve çalışma zamanı gibi sistemin temel bölümlerinde 8'i kritik olmak üzere 119 açığı kapsıyor. 5 Kasım seviyesi ise Linux çekirdeğinde (31 açık) ve çip üreticilerinin bileşenlerinde 15'i kritik olmak üzere 97 açığı kapsıyor: MediaTek (30), Qualcomm (açık ve kapalı kaynak bölümlerde toplam 17), Imagination (12), Unisoc (4) ve Arm (3). 5 Kasım seviyesindeki bir telefon her iki seviyedeki açıklara karşı korunuyor.
Google'a göre en ciddi açık (CVE-2026-58868), ek çalıştırma yetkisi ve kullanıcı etkileşimi gerekmeden uzaktan kod çalıştırmaya yol açabiliyor. System bölümünde aynı türden iki kritik açık daha (CVE-2026-58876 ve CVE-2026-58936) ile üç kritik yetki yükseltme açığı bulunuyor.
Aramayı kesen tek bir mesaj: WAP Push açığı
Kritik açıklar arasında bir hizmet reddi hatası da var (CVE-2026-58882). CyberInsider raporu, bozuk biçimli tek bir WAP Push mesajının Android'in telefon sürecini çökertmeye yettiğini anlatıyor. Bu, acil çağrılar dahil devam eden aramaları sonlandırıyor; mesaj gelen kutusunda hiç görünmüyor ve alıcının bir şey açması gerekmiyor. Daha kötüsü, tekrarlanan mesajlar yeniden başlatmadan sonra bile çökmeyi geri getirebiliyor. İçi rahatlatan kısım: Rapor şimdiye kadar gerçek bir istismar bulmadı. Ancak kavram kanıtı kodu herkese açık; bu da açıklama ile saldırılar arasındaki sürenin kısa olabileceği anlamına geliyor.
Bütün gün telefonla çalışan bir satış temsilcisi ya da kurye düşünün; hiç görmediği bir mesaj her geldiğinde aramaları kesiliyor. Bu bir veri sızıntısı değil, ama işin durması demek.
Güncelleme Samsung telefonlara ne zaman geliyor?
Samsung, Kasım 2026 Güvenlik Bakım Sürümü'nü 3 Kasım'da yayımladı. Sürüm Google'ın düzeltmelerini ve Samsung Semiconductor'ın dört yamasını içeriyor ve Galaxy'ye özgü 24 madde eklediğini belirtiyor. Ancak bültenin yayımlanması her cihazın güncellemeyi o gün alacağı anlamına gelmiyor: Güncelleme model ve bölgeye göre dalgalar halinde dağıtılıyor ve bazı eski modeller güvenlik güncellemelerini her ay yerine üç ayda bir alıyor. Bu yüzden «Güncelledin mi?» sorusuyla yetinmeyin. Ayarlar'da görünen tarihi isteyin.
Bu hafta şirket telefonlarınız için 5 adım
- Telefonları listeleyin: Bir çalışanın şirket e-postasına, sistemlerine ya da bankacılık uygulamalarına eriştiği her Android telefon; şirket telefonu ya da kendi telefonu olması fark etmez.
- Güvenlik tarihini kontrol edin: Google'ın destek sayfası'na göre bu tarih Ayarlar'da «Telefon hakkında» ya da «Güvenlik» altında, «Android güvenlik güncellemesi» adıyla yer alıyor. Hedef, model için yayımlanır yayımlanmaz 2026-11-05 ya da sonrası.
- Google Play sistem güncellemesini de yükleyin: 1 Kasım düzeltmelerinin bir kısmı bu güncellemeyle geliyor ve aynı ayarlarda kendi tarihiyle görünüyor.
- Eski cihazları bilinen bir risk olarak görün: Android 13 ya da daha eski sürümde kalmış bir telefon bu bültenin dışında. Onu şirketin hassas hesaplarından uzak tutun ve değiştirmeyi planlayın.
- Kuralı otomatik hale getirin: Microsoft Intune gibi cihaz yönetimi araçları asgari bir güvenlik yaması seviyesi belirlemenize izin veriyor; böylece daha eski bir cihaz güncellenene kadar e-postaya ve sistemlere erişemiyor.
Şirketinizin Android uygulaması etkileniyor mu?
Bu açıklar uygulamanızda değil, işletim sisteminin kendisinde; bu yüzden kodunuzu bunlar nedeniyle değiştirmeniz gerekmiyor. Ama uygulamanız bu sistemin üzerinde çalışıyor: Müşteri verisi gösteriyor ya da ödeme alıyorsa, yamasız bir telefon kurduğunuz korumayı zayıflatıyor. Bazı bankacılık uygulamaları güvensiz cihazları reddetmek için Play Integrity API'sini kullanıyor; hassas iş uygulamaları da aynısını yapabilir. Mağaza dışında dahili bir uygulama dağıtıyorsanız, Google'ın mağaza dışından yüklemeye getirdiği kısıtlamalar hakkındaki yazımızı da okuyun.
Origami'nin görüşü
Çoğu sızma şirket sunucusundan başlamaz. E-postasını, mesajlarını ve parolalarını taşıyan bir çalışanın cihazından başlar. Aylık güncelleme ücretsizdir ve birkaç dakika sürer, ama kimsenin takip etmediği bir şirkette kendiliğinden olmaz. Güvenlik tarihini kontrol etmeyi her ayın başında sabit bir iş haline getirin; tıpkı oltalama e-postaları yazımızda anlattığımız şüpheli e-postaları gözden geçirmek gibi. Özel uygulamalar ve sistemler geliştirirken, hassas bir veri göstermeden önce cihaz bütünlüğü ve sistem sürümü kontrolü ekliyoruz. Ekibinizin cihazlarının ya da uygulamanızın gözden geçirilmesini istiyorsanız bizimle iletişime geçin ya da hizmetlerimize göz atın.
Kaynaklar
- Google — Android Güvenlik Bülteni, Kasım 2026: açık sayısı, yama seviyeleri, etkilenen bileşenler ve Android 14 ile 17 arası sürümler.
- Samsung — Mobil Güvenlik Güncellemeleri (SMR Nov-2026): yayın tarihi, Samsung Semiconductor yamaları ve Galaxy maddeleri.
- Google — Android Yardım: Android sürümünü kontrol etme ve güncelleme: güvenlik güncellemesi tarihinin Ayarlar'daki yeri.
- CyberInsider — Android Kasım güncellemesi ve WAP Push açığı: CVE-2026-58882'nin nasıl çalıştığı ve herkese açık kavram kanıtı.
Sık sorulan sorular
Android telefonumun Kasım 2026 güncellemesini aldığını nasıl anlarım?
Ayarlar'ı açın, ardından «Telefon hakkında» ya da «Güvenlik» bölümüne girin ve «Android güvenlik güncellemesi» satırına bakın. Tarih 5 Kasım 2026 ya da sonrasıysa telefon Kasım bültenindeki tüm açıklara karşı korunuyor; 1 Kasım ise yalnızca bir kısmına karşı korunuyor.
Kasım güncellemesi Android 13 kullanan bir telefona geliyor mu?
Hayır. Google'ın Kasım 2026 bülteni yalnızca Android 14, 15, 16 ve 17'yi kapsıyor. Android 13 ya da daha eski sürümde kalmış bir telefon açık kalır; onu şirketin hassas hesaplarından uzak tutun ve değiştirmeyi planlayın.
Saldırganlar bu açıkları gerçekten kullandı mı?
Google'ın bülteni gerçek bir istismardan söz etmiyor, CyberInsider raporu da WAP Push açığı için herhangi bir istismar bulmadı. Ancak bu açığın kavram kanıtı kodu herkese açık, bu yüzden beklemek yerine bu hafta güncellemek daha iyi.
Bu açıklar yüzünden şirketimin Android uygulamasını değiştirmem gerekir mi?
Hayır, açıklar uygulamanızda değil işletim sisteminde. Ama uygulamanız hassas veriler gösteriyor ya da ödeme alıyorsa, güvensiz cihazları reddetmek için Play Integrity ile bir cihaz bütünlüğü kontrolü ekleyebilirsiniz.
