2026年11月2日，Google发布了11月的Android安全公告。它修复了216个漏洞，其中23个为严重级别，193个为高危级别。最严重的是Framework组件中的一个漏洞：攻击者可以远程在手机上执行代码，机主无需任何点击，也不需要额外权限。你今天要做的事很简单：请每一位在Android手机上打开公司邮箱、WhatsApp Business或银行应用的员工安装更新，然后确认“设置”中“Android安全更新”的日期为2026年11月5日或更晚。运行Android 13或更早版本的手机收不到这个修复，因为公告只覆盖14到17版本。
Google具体修复了什么？
根据2026年11月Android安全公告，修复分两个级别发布。11月1日级别涵盖119个漏洞，其中8个为严重级别，分布在Framework、System和运行时等系统核心部分。11月5日级别涵盖97个漏洞，其中15个为严重级别，分布在Linux内核（31个漏洞）和芯片厂商组件中：MediaTek（30个）、Qualcomm（开源与闭源部分共17个）、Imagination（12个）、Unisoc（4个）和Arm（3个）。达到11月5日级别的手机可防护两个级别中的全部漏洞。
Google表示，最严重的漏洞（CVE-2026-58868）可能导致远程代码执行，既不需要额外的执行权限，也不需要用户交互。System部分还有两个同类型的严重漏洞（CVE-2026-58876和CVE-2026-58936），以及三个严重的权限提升漏洞。
一条消息就能挂断通话：WAP Push漏洞
严重漏洞中还有一个拒绝服务漏洞（CVE-2026-58882）。CyberInsider的报告解释说，只需一条格式错误的WAP Push消息，就能让Android的电话进程崩溃，正在进行的通话（包括紧急呼叫）随即中断，而这条消息根本不会出现在收件箱里，收件人也无需打开任何东西。更糟的是，重复发送的消息即使在重启后也可能再次引发崩溃。令人安心的是：报告目前没有发现实际利用。但概念验证代码已经公开，这意味着从披露到遭受攻击的时间可能很短。
想象一位整天靠手机工作的销售代表或送货司机，每当收到一条他根本看不到的消息，电话就会断掉。这不是数据泄露，但工作停摆了。
三星手机什么时候能收到更新？
三星于11月3日发布了2026年11月安全维护版本。其中包含Google的修复和Samsung Semiconductor的四个补丁，并称新增了24项Galaxy专属条目。但公告发布并不意味着每台设备当天都能收到更新：更新会按机型和地区分批推送，一些较旧的机型每三个月才收到一次安全更新，而不是每月一次。所以不要只问“你更新了吗？”，而要问“设置”里显示的日期。
本周为公司手机做的5件事
- 列出手机清单：员工用来访问公司邮箱、系统或银行应用的每一部Android手机，无论是公司配发的还是员工自己的。
- 检查安全日期：根据Google的帮助页面，它位于“设置”的“关于手机”或“安全”中，名称为“Android安全更新”。目标是在该机型可用时尽快达到2026-11-05或更晚。
- 同时安装Google Play系统更新：11月1日的部分修复通过它推送，它在同一设置中显示，有单独的日期。
- 把旧设备视为已知风险：停留在Android 13或更早版本的手机不在本次公告范围内。让它远离公司的敏感账户，并计划更换。
- 让规则自动执行：Microsoft Intune等设备管理工具可以设定最低安全补丁级别，较旧的设备在更新之前会被禁止访问邮箱和系统。
你公司的Android应用受影响吗？
这些漏洞存在于操作系统本身，而不在你的应用里，所以你不需要因此修改代码。但你的应用运行在这个系统之上：如果它显示客户数据或处理付款，一部没有打补丁的手机会削弱你建立的防护。一些银行应用使用Play Integrity API拒绝不安全的设备，敏感的业务应用也可以这样做。如果你在应用商店之外分发内部应用，也请阅读我们关于Google限制在商店之外安装应用的文章。
Origami的观点
大多数入侵并不是从公司服务器开始的，而是从员工的设备开始的，那里存着他的邮件、消息和密码。每月的更新免费，只需几分钟，但在一家没人跟进的公司里，它不会自己发生。把检查安全日期变成每月月初的固定事项，就像我们在关于钓鱼邮件的文章中介绍的审查可疑邮件一样。我们在开发定制应用和系统时，会在显示任何敏感数据之前加入设备完整性和系统版本检查。如果你希望我们检查团队的设备或你的应用，请联系我们，或查看我们的服务。
资料来源
- Google — Android安全公告，2026年11月：漏洞数量、补丁级别、受影响组件以及Android 14到17版本。
- 三星 — 移动设备安全更新（SMR Nov-2026）：发布日期、Samsung Semiconductor补丁和Galaxy条目。
- Google — Android帮助：检查并更新Android版本：安全更新日期在“设置”中的位置。
- CyberInsider — Android 11月更新与WAP Push漏洞：CVE-2026-58882的原理以及公开的概念验证。
常见问题
怎么知道我的Android手机已经装上2026年11月的更新？
打开“设置”，进入“关于手机”或“安全”，找到“Android安全更新”。如果日期是2026年11月5日或更晚，手机已防护11月公告中的全部漏洞；如果是11月1日，则只防护其中一部分。
运行Android 13的手机能收到11月更新吗？
不能。Google 2026年11月的公告只覆盖Android 14、15、16和17。停留在Android 13或更早版本的手机仍然暴露在风险中，应让它远离公司的敏感账户，并计划更换。
攻击者真的利用过这些漏洞吗？
Google的公告没有提到任何实际利用，CyberInsider的报告也没有发现WAP Push漏洞被利用。但该漏洞的概念验证代码已经公开，所以最好本周就更新，不要等待。
我需要因为这些漏洞修改公司的Android应用吗？
不需要，漏洞在操作系统里，不在你的应用里。但如果你的应用显示敏感数据或处理付款，可以通过Play Integrity加入设备完整性检查，拒绝不安全的设备。
