Google, 2 Kasım 2026'da yayımladığı Android Güvenlik Bülteni'nde, Framework bileşenindeki kritik bir açığın kullanıcı etkileşimi gerekmeden uzaktan kod çalıştırmaya yol açabileceğini açıkladı. Bültendeki tüm açıkları 2026-11-05 ve sonrası güvenlik yaması düzeyi kapatıyor.
En ağır açık Framework'te
Bültene göre Framework bölümündeki en ağır açık, ek yürütme yetkisi gerekmeden uzaktan kod çalıştırmaya yol açabilen kritik bir zafiyet ve istismarı için kullanıcı etkileşimi gerekmiyor. Bu açık CVE-2026-58868 olarak kayıtlı; düzeltme AOSP'de Android 14, 15, 16 ve 17 için yayımlandı. Bültene göre System bölümündeki en ağır açık da aynı nitelikte; bu bölümde uzaktan kod çalıştırma sınıfındaki iki kritik açık CVE-2026-58876 ve CVE-2026-58936 olarak listeleniyor.
216 açık, 23'ü kritik
Google bültende toplam açık sayısı vermiyor. SGH'nin bülten tablolarındaki kayıtları saymasına göre Kasım bülteninde 216 farklı CVE yer alıyor; bunların 23'ü kritik, 193'ü yüksek önem derecesinde. Tablolara göre Framework bölümünde 65, System bölümünde 53, Android runtime bölümünde 1 açık bulunuyor; kalan açıklar çekirdek (Kernel) ile Arm, Imagination Technologies, MediaTek, Unisoc ve Qualcomm bileşenlerine dağılıyor.
Kritik açıklar arasında System bölümünde yetki yükseltme ve hizmet engelleme açıkları, çekirdekte ise Bluetooth, HID ve pKVM açıkları bulunuyor. MediaTek modem bileşeninde sekiz, Qualcomm'un kapalı kaynak bileşeninde bir kritik açık listeleniyor. SGH'nin 31 Ekim'de aktardığı tek SMS ile Android telefonları çökertebilen «SMS of Death» açığı da CVE-2026-58882 numarasıyla bu bültende, System bölümünde kritik hizmet engelleme açığı olarak yer alıyor.
İki yama düzeyi ve güncelleme takvimi
Bültende iki güvenlik yaması düzeyi var. 2026-11-01 düzeyi Framework, System ve Android runtime açıklarını kapatıyor; 2026-11-05 düzeyi bunlara ek olarak çekirdek ile Arm, Imagination Technologies, MediaTek, Unisoc ve Qualcomm bileşenlerindeki açıkları da gideriyor. Google'a göre iki düzey, cihaz üreticilerine tüm Android cihazlarda benzer olan açıkların bir bölümünü daha hızlı düzeltme esnekliği tanıyor; üreticilerden yine de bültendeki tüm açıkları düzeltmeleri ve en son yama düzeyini kullanmaları isteniyor.
Google, AOSP kaynak kodu yamalarının bültenin yayımından sonraki 48 saat içinde AOSP deposuna ekleneceğini bildirdi. Cihaz üreticilerine açıklar bülten yayımından en az bir ay önce bildirildi. Android 10 ve sonrası bazı cihazlarda Google Play sistem güncellemesi, 2026-11-01 yama düzeyiyle eşleşen bir tarih taşıyor. Bültende düzeltmelerin yayımlandığı AOSP sürümleri Android 14, 15, 16 ve 17 olarak listeleniyor.
Samsung Kasım güncellemesi
Samsung, Kasım 2026 güvenlik bakım sürümünde (SMR-NOV-2026) Google'ın bülteninden 20 kritik açığın düzeltmesine yer verdi. Bunlar arasında CVE-2026-58868, CVE-2026-58876, CVE-2026-58882 ve CVE-2026-58936 kayıtları bulunuyor. Samsung'a göre bültendeki 23 CVE kendi cihazları için geçerli değil. Paket ayrıca önyükleyici ve kamera kütüphanesini ilgilendiren üreticiye özel düzeltmeleri de barındırıyor. Samsung, güncellemelerin dağıtım süresinin modele ve bölgeye göre değişebildiğini bildirdi.
Türkiye açısından
Bülten Türkiye'ye özel bir bilgi içermiyor. Sayfa görüntülemelerini ölçen StatCounter Global Stats verilerine göre Ekim 2026'da Türkiye'de mobil web sayfa görüntülemelerinin yüzde 76,78'i Android, yüzde 23,22'si iOS cihazlardan geldi. Android sürümleri arasında ilk sırada yüzde 34,43 ile Android 16 yer aldı; onu Android 13 (yüzde 13,48), Android 15 (yüzde 13,33), Android 14 (yüzde 12,52), Android 11 (yüzde 7,99) ve Android 12 (yüzde 7,26) izledi. Android 13, 12 ve 11'in toplam payı yüzde 28,73. Bu oranlar kullanıcı ya da cihaz sayısını değil, web sayfa görüntülemelerinin payını gösteriyor.
Telefonun Kasım düzeltmelerini alıp almadığı, Ayarlar'daki güvenlik güncellemesi tarihinden anlaşılabiliyor.
Ne yapmalı
Google'ın bülteni ve Android yardım sayfasına göre yapılması gerekenler:
- Ayarlar > Telefon hakkında > Android sürümü bölümünde «Android güvenlik güncellemesi» tarihine bakın.
- Tarih 2026-11-05 ya da sonrası değilse Ayarlar > Sistem > Yazılım güncellemeleri bölümünden güncelleme olup olmadığını denetleyin.
- Google, güncelleme yüklemesinden önce bir kablosuz ağa bağlanmayı ve cihazı en az yüzde 75 şarj etmeyi öneriyor.
- Mevcut en güncel güvenlik paketini alabilmek için cihazın desteklediği en son Android sürümünün kurulu olduğundan emin olun.
- Google Play Protect'in açık olduğundan emin olun; Google'a göre bu koruma, Google Play dışından uygulama yükleyenler için özellikle önemli.
Yalnız işletim sistemi değil, uygulamalar da güncel tutulmalı: SGH'nin aktardığı Microsoft Authenticator'daki Android açığı da uygulama güncellemesiyle kapatılmıştı.
Kaynaklar
- Google — Android Security Bulletin—November 2026
- Samsung Mobile Security — Security Updates (SMR-NOV-2026)
- Google Android Yardım — Android sürümünüzü kontrol etme ve güncelleme
- StatCounter Global Stats — Mobile Operating System Market Share Turkey
- StatCounter Global Stats — Mobile Android Version Market Share Turkey
Kapak görseli (temsili): Güncelleme yükleyen Android telefon — Santeri Viinamäki / Wikimedia Commons, CC BY-SA 4.0 (kırpıldı, küçültüldü).
Sık sorulan sorular
Telefonumun yamalı olduğunu nasıl anlarım?
Ayarlar > Telefon hakkında > Android sürümü bölümündeki «Android güvenlik güncellemesi» tarihine bakabilirsiniz. Bültendeki tüm açıkların kapanması için bu tarihin 2026-11-05 ya da sonrası olması gerekiyor.
Hangi Android sürümleri güncellendi?
Bültende AOSP düzeltmeleri Android 14, 15, 16 ve 17 için listeleniyor. Google, mümkün olan her durumda Android'in en son sürümüne güncellemeyi öneriyor.
