Google vá lỗ hổng Android nghiêm trọng cho phép RCE không cần tương tác người dùng
"Google released security updates addressing critical vulnerabilities in Android, including CVE-2026-58868 and CVE-2026-58882. CVE-2026-58868 is a heap buffer overflow in FrameDecoder.cpp that could allow remote code execution (RCE) without user interaction, affecting Android 14-17. CVE-2026-58882 is a denial-of-service flaw in the WAP Push message handling code."
Lỗ hổng RCE (Remote Code Execution) cho phép kẻ tấn công thực thi mã từ xa mà không cần tương tác của người dùng là một mối đe dọa nghiêm trọng. Việc khai thác thành công có thể dẫn đến mất dữ liệu hoặc kiểm soát thiết bị.
Các doanh nghiệp sử dụng thiết bị Android cho nhân viên có thể bị ảnh hưởng bởi mất năng suất và rủi ro bảo mật dữ liệu. Việc cập nhật phần mềm kịp thời là rất quan trọng để giảm thiểu rủi ro.
Google phát hành bản cập nhật bảo mật khắc phục các lỗ hổng nghiêm trọng trong Android, bao gồm CVE-2026-58868 và CVE-2026-58882. CVE-2026-58868 là lỗi tràn bộ đệm heap trong FrameDecoder.cpp, có thể cho phép thực thi mã từ xa (RCE) mà không cần tương tác của người dùng, ảnh hưởng đến Android 14-17. CVE-2026-58882 là lỗi từ chối dịch vụ (denial-of-service) trong quá trình xử lý tin nhắn WAP Push.
Các nhà sản xuất điện thoại và nhà mạng sẽ phát hành bản vá này theo lịch trình riêng. Tính đến ngày 4 tháng 11, Google chưa ghi nhận bất kỳ cuộc tấn công nào khai thác các lỗ hổng này. Chúng cũng không nằm trong danh mục các lỗ hổng đang bị khai thác tích cực của Cơ quan An ninh và Cơ sở hạ tầng An ninh Hoa Kỳ (CISA).
Lỗi CVE-2026-58868 là do lỗi ghi ngoài giới hạn trong hàm onOutputReceived của file FrameDecoder.cpp. Bản ghi chú không nêu rõ cách kẻ tấn công có thể truy cập vào đoạn mã này. Google đánh giá mức độ nghiêm trọng là Critical khi các cơ chế bảo vệ tích hợp trong Android và các dịch vụ của Google bị tắt hoặc bỏ qua.
Các phiên bản Android cũ hơn, như 12 và 13, không được liệt kê là bị ảnh hưởng. Google không cho biết liệu chúng có chứa lỗ hổng này hay không.
Để kiểm tra phiên bản trên điện thoại, bạn mở Cài đặt, chọn Giới thiệu điện thoại (hoặc Máy tính bảng), sau đó chọn Phiên bản Android. Tìm ngày cập nhật bảo mật Android và Google Play System. Ngày cập nhật bảo mật Android là mức vá bảo mật hiện tại của điện thoại. Ngày 2026-11-01 trở lên khắc phục CVE-2026-58868 và các lỗ hổng khác trong Framework, System và Android runtime. Ngày 2026-11-05 trở lên khắc phục mọi lỗ hổng trong bản cập nhật tháng 11, bao gồm cả kernel và các thành phần từ Arm, Imagination Technologies, MediaTek, Unisoc và Qualcomm.
Điện thoại chạy Android 10 trở lên có thể nhận được một số bản sửa thông qua cập nhật hệ thống Google Play. Bản cập nhật tháng này cũng chứa một lỗ hổng Critical khác, CVE-2026-58876. Vì CVE-2026-58868 không nằm trong danh sách này, bạn cần kiểm tra ngày cập nhật bảo mật Android.
Bản ghi chú không cung cấp giải pháp tạm thời cho các điện thoại chưa thể cài đặt bản cập nhật.
Câu hỏi thường gặp
CVE-2026-58868 ảnh hưởng đến phiên bản Android nào?
Lỗ hổng này ảnh hưởng đến Android 14 đến 17. Các phiên bản Android 12 và 13 không được liệt kê là bị ảnh hưởng, nhưng Google không xác nhận liệu chúng có chứa lỗ hổng này hay không.
Làm thế nào để kiểm tra xem điện thoại của tôi đã được vá chưa?
Mở Cài đặt, chọn Giới thiệu điện thoại (hoặc Máy tính bảng), sau đó chọn Phiên bản Android. Kiểm tra ngày cập nhật bảo mật Android và Google Play System. Ngày 2026-11-01 trở lên khắc phục CVE-2026-58868.
CVE-2026-58882 là gì?
CVE-2026-58882 là một lỗ hổng từ chối dịch vụ (denial-of-service) trong quá trình xử lý tin nhắn WAP Push. Nó có thể cho phép kẻ tấn công làm gián đoạn dịch vụ mà không cần tương tác của người dùng.
Góc nhìn của Orange Cloud
Theo chúng tôi, lỗ hổng RCE không cần tương tác người dùng (CVE-2026-58868) là đáng lo ngại nhất. Các doanh nghiệp Việt Nam sử dụng thiết bị Android cho nhân viên cần ưu tiên cập nhật. Điều đáng chú ý là việc kiểm tra phiên bản Android và Google Play System là cần thiết để đảm bảo thiết bị được bảo vệ. Các nhà phát triển ứng dụng Android cũng nên xem xét lại mã của họ để giảm thiểu rủi ro.