Google का नवंबर बुलेटिन Android की क्रिटिकल कमज़ोरियों के लिए फ़िक्स देता है, जिनमें ऐसी रिमोट-कोड-एक्ज़ीक्यूशन खामियां भी हैं जिनके लिए यूज़र के किसी इंटरैक्शन की ज़रूरत नहीं होती। एंटरप्राइज़ के लिए तुरंत का काम यह पहचानना है कि किन डिवाइस को लागू होने वाले फ़िक्स मिल चुके हैं।
Google ने अपना नवंबर 2026 Android Security Bulletin 2 नवंबर को प्रकाशित किया।
बुलेटिन Android Framework, System और अन्य कंपोनेंट में क्रिटिकल कमज़ोरियों की पहचान करता है, जिनमें ऐसी रिमोट-कोड-एक्ज़ीक्यूशन खामियां भी शामिल हैं जिनके लिए यूज़र इंटरैक्शन की ज़रूरत नहीं होती।
Android फ़ोन और टैबलेट मैनेज करने वाले संगठनों के लिए व्यावहारिक सवाल यह है कि क्या प्रभावित डिवाइस को ज़रूरी सुरक्षा अपडेट मिल चुके हैं।
Google नवंबर के लिए दो सुरक्षा पैच लेवल तय करता है: 2026-11-01 और 2026-11-05।
इन दोनों तारीख़ों का मतलब एक नहीं है।
कौन सी कमज़ोरियां मायने रखती हैं?
बुलेटिन में Framework और System की तीन क्रिटिकल रिमोट-कोड-एक्ज़ीक्यूशन कमज़ोरियां शामिल हैं।
| कमज़ोरी | कंपोनेंट | गंभीरता | प्रकार |
|---|---|---|---|
| CVE-2026-58868 | Framework | क्रिटिकल | रिमोट कोड एक्ज़ीक्यूशन |
| CVE-2026-58876 | System | क्रिटिकल | रिमोट कोड एक्ज़ीक्यूशन |
| CVE-2026-58936 | System | क्रिटिकल | रिमोट कोड एक्ज़ीक्यूशन |
Google के अनुसार Framework की सबसे गंभीर कमज़ोरी अतिरिक्त एक्ज़ीक्यूशन प्रिविलेज या यूज़र इंटरैक्शन के बिना रिमोट कोड एक्ज़ीक्यूशन की अनुमति दे सकती है।
बुलेटिन System की क्रिटिकल रिमोट-कोड-एक्ज़ीक्यूशन समस्याओं के लिए भी इसी तरह के जोखिम बताता है।
ये कमज़ोरियों के प्रभाव के आकलन हैं। इनसे यह साबित नहीं होता कि हर प्रभावित डिवाइस हर स्थिति में कंप्रोमाइज़ किया जा सकता है।
Google का गंभीरता आकलन यह मानकर चलता है कि संबंधित प्लेटफ़ॉर्म या सर्विस सुरक्षा उपाय बंद हैं या उन्हें सफलतापूर्वक बायपास कर दिया गया है।
आधिकारिक नवंबर बुलेटिन इन तीन प्रमुख RCE कमज़ोरियों के पुष्ट सक्रिय दुरुपयोग (active exploitation) की रिपोर्ट नहीं करता। इसे इस बात का सबूत नहीं माना जाना चाहिए कि दुरुपयोग कभी हुआ ही नहीं।
बुलेटिन प्रिविलेज एस्केलेशन, जानकारी के खुलासे (information disclosure) और डिनायल ऑफ़ सर्विस से जुड़ी अन्य कमज़ोरियों को भी कवर करता है। System की पांच और समस्याओं को भी क्रिटिकल रेटिंग दी गई है: तीन प्रिविलेज-एस्केलेशन कमज़ोरियां और दो डिनायल-ऑफ़-सर्विस कमज़ोरियां।
समस्या के अनुसार, बुलेटिन Android Open Source Project के अपडेट किए गए वर्शन 14, 15, 16, 16-qpr2 और 17 सूचीबद्ध करता है।
स्रोत: Android Open Source Project, Android Security Bulletin, November 2026।
1 नवंबर बनाम 5 नवंबर: फ़र्क़ क्या है?
Android सुरक्षा पैच लेवल के ज़रिए यह बताता है कि डिवाइस निर्माता ने फ़िक्स के कौन से समूह शामिल किए हैं।
| Android सुरक्षा पैच लेवल | कवरेज |
|---|---|
| 2026-11-01 | 1 नवंबर समूह को सौंपी गई सभी समस्याएं, साथ ही पिछले Android सुरक्षा बुलेटिन के लागू होने वाले फ़िक्स |
| 2026-11-05 | दोनों नवंबर समूहों और पिछले Android सुरक्षा बुलेटिन के सभी लागू होने वाले फ़िक्स |
1 नवंबर समूह में Framework और System की प्रमुख रिमोट-कोड-एक्ज़ीक्यूशन कमज़ोरियां शामिल हैं।
5 नवंबर समूह कर्नेल और अन्य लागू होने वाले कंपोनेंट से जुड़े और फ़िक्स जोड़ता है, जिनमें वेंडर कंपोनेंट भी शामिल हैं।
Google दो पैच लेवल की अनुमति इसलिए देता है ताकि निर्माता बाकी लागू होने वाले बदलाव पूरे करते समय फ़िक्स का एक साझा उपसमूह पहले दे सकें।
इसलिए 2026-11-01 रिपोर्ट करने वाले डिवाइस को 2026-11-05 रिपोर्ट करने वाले डिवाइस के बराबर नहीं माना जाना चाहिए।
2026-11-01
2026-11-01 लेवल 1 नवंबर समूह को सौंपी गई सभी समस्याओं को कवर करता है, साथ ही पिछले Android सुरक्षा बुलेटिन के लागू होने वाले फ़िक्स को भी। 1 नवंबर समूह में Framework और System की प्रमुख रिमोट-कोड-एक्ज़ीक्यूशन कमज़ोरियां शामिल हैं।
2026-11-05
2026-11-05 लेवल दोनों नवंबर समूहों और पिछले Android सुरक्षा बुलेटिन के सभी लागू होने वाले फ़िक्स को कवर करता है। 5 नवंबर समूह कर्नेल और अन्य लागू होने वाले कंपोनेंट से जुड़े और फ़िक्स जोड़ता है, जिनमें वेंडर कंपोनेंट भी शामिल हैं।
बराबर नहीं
इसलिए 2026-11-01 रिपोर्ट करने वाले डिवाइस को 2026-11-05 रिपोर्ट करने वाले डिवाइस के बराबर नहीं माना जाना चाहिए। Google के अनुसार 5 नवंबर या उसके बाद का लेवल बुलेटिन की सभी लागू होने वाली समस्याओं को ठीक करता है।
Google के अनुसार 5 नवंबर या उसके बाद का लेवल बुलेटिन की सभी लागू होने वाली समस्याओं को ठीक करता है।
स्रोत: Android Security Bulletin, November 2026, पैच-लेवल की परिभाषाएं।
Android सुरक्षा पैच लेवल बनाम Google Play सिस्टम अपडेट
Android डिवाइस सुरक्षा से जुड़ी दो अलग-अलग तारीख़ें दिखा सकते हैं।
Android सुरक्षा पैच लेवल (Android security patch level) डिवाइस पर इंस्टॉल प्लेटफ़ॉर्म सुरक्षा पैच की स्थिति बताता है, जैसा कि उसके निर्माता ने घोषित किया है।
Google Play सिस्टम अपडेट (Google Play system update) उन अपडेट को दर्शाता है जो Google के अपडेट तंत्र के ज़रिए समर्थित मॉड्यूलर Android कंपोनेंट तक पहुंचाए जाते हैं।
नवंबर बुलेटिन में Project Mainline कंपोनेंट के फ़िक्स शामिल हैं, जो समर्थित डिवाइस पर Google Play सिस्टम अपडेट के ज़रिए पहुंचाए जा सकते हैं। तीन क्रिटिकल रिमोट-कोड-एक्ज़ीक्यूशन कमज़ोरियों में से एक, CVE-2026-58876, Project Mainline समस्याओं में Media Codecs के अंतर्गत सूचीबद्ध है।
हालांकि, उन कंपोनेंट को अपडेट करने से अपने आप यह साबित नहीं होता कि Framework, कर्नेल और निर्माता-विशिष्ट सभी ज़रूरी फ़िक्स इंस्टॉल हो चुके हैं।
Google यह भी बताता है कि Android 10 या उसके बाद वाले कुछ डिवाइस पर Google Play सिस्टम अपडेट की तारीख़ स्ट्रिंग 2026-11-01 सुरक्षा पैच लेवल से मेल खाएगी। यह मेल ऊपर कही गई बात को नहीं बदलता, क्योंकि Google Play सिस्टम अपडेट प्लेटफ़ॉर्म पैच की स्थिति नहीं बताता।
दोनों संकेतकों को एक-दूसरे की जगह इस्तेमाल करने लायक नहीं माना जाना चाहिए।
सुरक्षा पैच लेवल
Android सुरक्षा पैच लेवल डिवाइस पर इंस्टॉल प्लेटफ़ॉर्म सुरक्षा पैच की स्थिति बताता है, जैसा कि उसके निर्माता ने घोषित किया है। बुलेटिन की प्लेटफ़ॉर्म पैच ज़रूरतों का आकलन करते समय एडमिनिस्ट्रेटर को इसका इस्तेमाल करना चाहिए।
Play सिस्टम अपडेट
Google Play सिस्टम अपडेट उन अपडेट को दर्शाता है जो Google के अपडेट तंत्र के ज़रिए समर्थित मॉड्यूलर Android कंपोनेंट तक पहुंचाए जाते हैं। तीन क्रिटिकल रिमोट-कोड-एक्ज़ीक्यूशन कमज़ोरियों में से एक, CVE-2026-58876, Project Mainline समस्याओं में Media Codecs के अंतर्गत सूचीबद्ध है।
परस्पर विकल्प नहीं
मॉड्यूलर कंपोनेंट को अपडेट करने से अपने आप यह साबित नहीं होता कि Framework, कर्नेल और निर्माता-विशिष्ट सभी ज़रूरी फ़िक्स इंस्टॉल हो चुके हैं। दोनों संकेतकों को एक-दूसरे की जगह इस्तेमाल करने लायक नहीं माना जाना चाहिए।
बुलेटिन की प्लेटफ़ॉर्म पैच ज़रूरतों का आकलन करते समय एडमिनिस्ट्रेटर को Android सुरक्षा पैच लेवल का इस्तेमाल करना चाहिए, और जहां लागू हो वहां Google Play सिस्टम अपडेट पर भी नज़र रखनी चाहिए।
एंटरप्राइज़ टीमों को क्या करना चाहिए?
व्यावहारिक जवाब की शुरुआत मैनेज्ड डिवाइस की इन्वेंटरी से होती है।
प्रभावित डिवाइस पहचानें। डिवाइस मॉडल, Android वर्शन, इंस्टॉल किया गया Android सुरक्षा पैच लेवल और अपडेट की उपलब्धता दर्ज करें। डिवाइस पर दोनों संकेतक सेटिंग (Settings), फ़ोन के बारे में (About phone), Android वर्शन (Android version) के अंतर्गत दिखते हैं, जहां उनके लेबल Android सुरक्षा अपडेट (Android security update) और Google Play सिस्टम अपडेट (Google Play system update) होते हैं।
निर्माताओं की एडवाइज़री जांचें। Google प्लेटफ़ॉर्म बुलेटिन प्रकाशित करता है, लेकिन लागू होने वाले फ़िक्स को डिवाइस-विशिष्ट सॉफ़्टवेयर में निर्माता शामिल करते हैं। वितरण का शेड्यूल प्रोडक्ट और कैरियर के अनुसार अलग हो सकता है।
एक्सपोज़र के आधार पर प्राथमिकता तय करें। विशेषाधिकार वाले एडमिनिस्ट्रेशन, संवेदनशील एप्लिकेशन या गोपनीय रिकॉर्ड तक पहुंच के लिए इस्तेमाल होने वाले डिवाइस को, संगठन के खतरे और जोखिम आकलन के अनुसार, जल्दी सुधार की ज़रूरत हो सकती है।
जो डिवाइस अपडेट नहीं हो सकते, उन पर नज़र रखें। जिन डिवाइस के लिए सुधार वाली कोई रिलीज़ उपलब्ध नहीं है, उन्हें अपवाद इन्वेंटरी (exception inventory) में दिखते रहना चाहिए। ज़रूरी फ़िक्स उपलब्ध होने तक एक्सेस पर अस्थायी पाबंदी, कम विशेषाधिकार या डिवाइस बदलना उचित हो सकता है।
डिवाइस पहचानें
डिवाइस मॉडल, Android वर्शन, इंस्टॉल किया गया Android सुरक्षा पैच लेवल और अपडेट की उपलब्धता दर्ज करें।
निर्माता जांचें
Google प्लेटफ़ॉर्म बुलेटिन प्रकाशित करता है, लेकिन लागू होने वाले फ़िक्स को डिवाइस-विशिष्ट सॉफ़्टवेयर में निर्माता शामिल करते हैं। वितरण का शेड्यूल प्रोडक्ट और कैरियर के अनुसार अलग हो सकता है।
प्राथमिकता
विशेषाधिकार वाले एडमिनिस्ट्रेशन, संवेदनशील एप्लिकेशन या गोपनीय रिकॉर्ड तक पहुंच के लिए इस्तेमाल होने वाले डिवाइस को, संगठन के खतरे और जोखिम आकलन के अनुसार, जल्दी सुधार की ज़रूरत हो सकती है।
अपवाद ट्रैक करें
जिन डिवाइस के लिए सुधार वाली कोई रिलीज़ उपलब्ध नहीं है, उन्हें अपवाद इन्वेंटरी (exception inventory) में दिखते रहना चाहिए। ज़रूरी फ़िक्स उपलब्ध होने तक एक्सेस पर अस्थायी पाबंदी, कम विशेषाधिकार या डिवाइस बदलना उचित हो सकता है।
उदाहरण के लिए, `2026-11-01` रिपोर्ट करने वाले किसी मैनेज्ड फ़ोन में पहले समूह के ज़रिए Framework के क्रिटिकल फ़िक्स आ चुके हो सकते हैं, जबकि 5 नवंबर को सौंपे गए लागू होने वाले फ़िक्स अब भी बाकी हो सकते हैं।
किसी एडमिनिस्ट्रेटर को सिर्फ़ इसलिए फ़ोन को पूरी तरह अनुपालन वाला (compliant) नहीं मान लेना चाहिए कि उसकी तारीख़ में नवंबर 2026 है, बल्कि संगठन के लिए ज़रूरी पैच लेवल की पुष्टि करनी चाहिए।
Google Play Protect का क्या?
Google Play Protect और Android के बिल्ट-इन सुरक्षा नियंत्रण सफल दुरुपयोग की संभावना कम कर सकते हैं।
ये अब भी उपयोगी सुरक्षा उपाय हैं, खासकर हानिकारक एप्लिकेशन के ख़िलाफ़।
लेकिन ये सुरक्षा पैच की जगह नहीं लेते।
किसी डिवाइस पर Google Play Protect चालू होने के बावजूद प्लेटफ़ॉर्म या कर्नेल कमज़ोरी ठीक करने के लिए निर्माता के अपडेट की ज़रूरत बनी रह सकती है।
संगठनों को इन सुरक्षा तंत्रों में फ़र्क़ करना चाहिए, न कि किसी एक संकेतक को इस बात का सबूत मानना चाहिए कि डिवाइस पूरी तरह पैच हो चुका है।
ऑपरेशनल निष्कर्ष
नवंबर बुलेटिन कमज़ोरियां, प्रभावित कंपोनेंट और ज़रूरी पैच लेवल तय करता है।
एंटरप्राइज़ एडमिनिस्ट्रेटर को यह स्थापित करना होगा कि किन मैनेज्ड डिवाइस को वास्तव में लागू होने वाले अपडेट मिल चुके हैं।
तुरंत की कार्रवाई है: ज़रूरी पैच लेवल से नीचे वाले डिवाइस पहचानना, निर्माता की ओर से उपलब्धता की पुष्टि करना और सुधार पूरा होने तक अनसुलझे अपवादों को दिखते रखना।
प्रकाशित सुरक्षा अपडेट फ़िक्स उपलब्ध कराता है। डिवाइस फ़्लीट की सुरक्षा इस पुष्टि पर निर्भर करती है कि फ़िक्स प्रभावित डिवाइस तक पहुंच चुका है।
संदर्भ और आगे पढ़ने के लिए
- Android Open Source Project, Android Security Bulletin, November 2026। 2 नवंबर 2026। कमज़ोरियों का आधिकारिक वर्गीकरण, प्रभावित कंपोनेंट और पैच-लेवल की परिभाषाएं।
- Google, Check and update your Android version। Android सुरक्षा और Google Play सिस्टम अपडेट की स्थिति जांचने पर आधिकारिक मार्गदर्शन।
- Android Open Source Project, Android Security Bulletins। Android प्लेटफ़ॉर्म सुरक्षा एडवाइज़री का आधिकारिक संग्रह।
साक्ष्य की कटऑफ़ तारीख़: 6 नवंबर 2026। Google ने बुलेटिन 2 नवंबर को वर्शन 1.0 के रूप में प्रकाशित किया और कहा है कि इसे सोर्स-कोड लिंक के साथ संशोधित किया जाएगा। प्रकाशन से पहले बुलेटिन के संशोधन, डिवाइस-विशिष्ट अपडेट की उपलब्धता और दुरुपयोग से जुड़ी रिपोर्टिंग दोबारा जांची जानी चाहिए।