Android の11月の更新（CVE-2026-58868 ほか）— 216件を修正。操作なしで乗っ取られる欠陥と、SMS 1通で電話が落ちる「SMS of Death」

ひとことで言うと

Google が11月2日、Android の11月のセキュリティ更新を公開しました。修正は216件、そのうち23件が「緊急」です。
いちばん重い CVE-2026-58868 は、利用者が何もしなくても、外からプログラムを動かされるおそれがある欠陥です。
ほかに、細工した SMS 1通で電話の機能が落ちる「SMS of Death」（CVE-2026-58882）も直りました。こちらは攻撃コードが公開済みです。
悪用の報告はありません。会社で使っているスマホが、セキュリティパッチレベル「2026-11-05」以降になっているか確かめましょう。Android 12・13 は修正の対象外です。

この記事は 11月3日時点の情報です。

何が原因か

Android のセキュリティ更新は、毎月まとめて出ます。今月の主な欠陥は次のとおりです。

CVE 番号	場所	深刻度	内容
CVE-2026-58868	Framework（Android の土台）	緊急	操作なしで外からプログラムを動かされるおそれ。どうやって狙うかは公表されていない
CVE-2026-58876 / 58936	System	緊急	外からプログラムを動かされるおそれ。58876 は動画や音声の処理（Media Codecs）の部分
CVE-2026-58882	System（電話の機能）	緊急	細工した SMS で電話の機能が落ちる「SMS of Death」
ほか	Linux カーネル・チップ（MediaTek・Qualcomm など）	緊急を含む	Bluetooth、仮想化、モデムなどの欠陥

SMS of Death のしくみ

スマホには、設定などを自動で受け取るための特別な SMS（WAP Push）があります。この SMS の長さの確かめ方に誤りがあり、細工したものを受け取ると、電話を担当するプログラムが落ちてしまいます。

この SMS は受信箱に届く前に処理されるため、利用者は何も気づけません。何度も送られると、通話が切れ続けたり、再起動を繰り返したりします。緊急通報（110番・119番）の通話も切れるおそれがあります。

何が起きたか

10月31日：研究者が「SMS of Death」の攻撃コードを公開
11月2日：Google が Android の11月のセキュリティ更新を公開
11月3日：Samsung が Galaxy 向けの11月の更新を公開（まず主な機種から）

Google の11月の案内には、「限定的な悪用」の注記はありません。米 CISA の「悪用中」リストにも、今回の Android の欠陥は入っていません。Pixel 向けの11月の更新は、11月3日時点ではまだ出ていません。

SMS 1通で電話が落ちるって…怖いですね。仕事の電話が全部止まるんですか？

そうだ、そこが怖いところだ！

情報を盗まれるわけではないが、営業の電話、お客様からの問い合わせ、緊急の連絡——全部が止まりかねない。しかも攻撃コードはもう公開されている。いたずら半分で使われることもあり得るぞ。

会社のスマホを配っているなら、今月の更新が届いているか、必ず確かめろ！

どんな問題があるか

スマホを乗っ取られるおそれ：CVE-2026-58868 などは、操作なしで外からプログラムを動かされるおそれがあります。会社のメール、チャット、顧客の連絡先が入ったスマホなら、被害は大きくなります
電話の業務が止まる：SMS of Death で、通話が切れ続ける状態にされるおそれがあります
更新が届くまで時間がかかる：Android は、スマホのメーカーや携帯電話会社が更新を配ります。Google の公開から、数週間〜数か月かかることもあります
古い Android は直らない：今回の修正は Android 14〜17 が対象です。Android 12・13 のスマホには届きません

日本のスマホは更新が遅れがち

Samsung や Google の Pixel は、毎月の更新を出しています。一方、国内メーカー（シャープ・ソニー・京セラなど）は、機種や携帯電話会社ごとに、数か月おきに更新を出すことが多く、11月の修正が届くまでには時間がかかる見込みです。

会社のスマホで、とくに気をつけたいところ

営業や現場の人が使うスマホ：通話が業務の中心なので、SMS of Death の影響をいちばん受けます
社員の私物スマホを仕事に使っている場合（BYOD）：会社からは更新の状況が見えにくく、古い Android のままのことがあります
お店やイベントで使うタブレット・決済端末：Android で動いていても、更新がメーカー任せになっていることが多い機器です
退職者や予備機として眠っているスマホ：電源を入れたときに、何か月分も更新が遅れていることがあります

SMS of Death かもしれない、と思ったら

通話が何度も勝手に切れる、電話のアプリが落ちる、スマホが再起動を繰り返す——こうした症状が急に出たら、この攻撃の可能性があります
まずは最新の更新を当てるのが一番です。更新がない機種なら、別のスマホに SIM を差し替えるなどで電話の業務を止めないようにし、携帯電話会社やスマホを管理している業者に相談します
緊急の連絡は、固定電話など別の手段も用意しておくと安心です

臨時の対処（更新が届くまで）

Google は回避策を出していませんが、次のことで危険を減らせます。

「Google Play システムアップデート」を最新にする
今回の修正のうち17件は、メーカーの更新を待たずに、この仕組みで届きます。動画や音声の処理の欠陥（CVE-2026-58876）も含まれます。
Google Play プロテクトをオンにし、Google Play 以外からアプリを入れない
Android 12・13 のスマホを洗い出す
修正が届かないので、買い替えの計画を立てます。

正しい対処

セキュリティパッチレベル「2026-11-05」以降に更新する
確かめ方は、多くの機種で「設定 → セキュリティとプライバシー → システムとアップデート」の「Android セキュリティアップデート」の日付です（機種によって名前が少しちがいます）。 Samsung の Galaxy は「設定 → ソフトウェア更新 → ダウンロードおよびインストール」で更新し、セキュリティのソフトウェアの版が「SMR Nov-2026 Release 1」以降になっているかで確かめられます。Samsung の11月の更新では、Google の修正のうち Galaxy に関係する緊急の20件に加え、Galaxy 独自の欠陥も直っています。
会社のスマホをまとめて管理している場合は、パッチレベルの一覧を出す
端末を管理する仕組み（MDM）があれば、全台のパッチレベルを一覧で確かめられます。
更新が止まった機種は入れ替える
メーカーのサポートが終わった機種は、今後の欠陥も直りません。

社員のスマホがバラバラで、どれが更新されているかわかりません…

それなら、まず一覧を作るところからだ！　スマホを管理している担当者か業者にこう頼め！

「Android の11月のセキュリティ更新（CVE-2026-58868、SMS of Death など）について、会社のスマホの状況を確認させてください。機種ごとに、Android のバージョンと、セキュリティパッチレベルの日付を一覧にしてください。Android 12・13 の機種や、メーカーの更新が止まっている機種があれば、入れ替えの相談もしたいです。」

「パッチレベルの日付」——これが、スマホの健康診断の数字だ。毎月見る習慣をつけろ！

まとめ

11月の更新は 216件の修正、うち23件が緊急。操作なしで乗っ取られるおそれのある欠陥も
SMS 1通で電話が落ちる「SMS of Death」は、攻撃コードが公開済み
つなぎは Google Play システムアップデートを最新に、正しい対処はパッチレベル 2026-11-05 以降への更新
Android 12・13 は直らない。会社のスマホは、パッチレベルの一覧で管理する

出典

← セキュリティニュースの一覧へ