Googleは11月のAndroidセキュリティ情報(毎月公開される、修正済みの欠陥の一覧)で、深刻度「緊急(Critical)」に分類される欠陥を修正したと発表しました。セキュリティ専門メディアのThe Hacker Newsによると、この欠陥を悪用されると、攻撃者は遠く離れた場所からスマートフォン上で任意のプログラムを動かせるおそれがあり、しかも利用者が何も操作しなくても成立しうるとされています。
このような欠陥は「リモートコード実行(RCE)」と呼ばれます。インターネット越しに他人の端末で好きなプログラムを動かせてしまう状態のことで、セキュリティホールの中でも特に危険な部類です。さらに今回のように「ユーザーの操作が不要」なタイプは、怪しいリンクを開かない、不審なアプリを入れない、といった普段の注意だけでは防げないため、より警戒が必要とされます。
欠陥には「CVE-2026-58868」という番号が付けられています。CVEとは、見つかった欠陥ごとに割り当てられる世界共通の識別番号のことです。影響を受けるのはAndroid 14から17までと幅広く、現在使われている多くのスマートフォンが対象に含まれるとみられます。
修正は「セキュリティパッチレベル 2026-11-01」以降に含まれています。ただし、Androidの更新はGoogleが直接配るPixelなどを除き、各スマホメーカーや携帯電話会社を通じて順次届く仕組みのため、機種によっては配信まで時間がかかることがあります。
Androidをお使いの方は、「設定」→「デバイス情報」(機種により「端末情報」など)や「セキュリティ」の項目で、セキュリティパッチの日付を確認してみてください。2026年11月1日以降になっていれば今回の修正は適用済みです。まだの場合は、「システムアップデート」から更新がないかを確認し、配信され次第すみやかに適用しましょう。メーカーのサポートが終了した古い端末は今後も修正が届かない可能性があるため、買い替えを検討するきっかけにもなります。