Android脆弱性CVE-2026-58868——RCEの恐れ、修正版へ更新を

公開日：2026年11月4日文：クリスタルメソッド編集部監修：河合継（代表取締役）

CVE-2026-58868とは——Android 14〜17に遠隔コード実行の脆弱性

2026年11月2日、GoogleはAndroid OSの脆弱性CVE-2026-58868をCVE公式記録（cve.org）に登録した。メディア処理コンポーネントFrameDecoder.cppのonOutputReceived関数において、ヒープバッファオーバーフローによる領域外書き込みが発生する可能性が確認されており、追加の実行権限なしに遠隔コード実行（RCE）へと発展しうる（出典：CVE公式記録 CVE-2026-58868）。

この脆弱性は悪用にユーザーの操作が不要とされている点が特徴である（出典：CVE公式記録）。

CVE公式記録（2026年11月3日最終更新）が示す影響対象バージョンは以下のとおりだ。

Android 14
Android 15
Android 16
Android 16-QPR2
Android 17

図1: CVE-2026-58868の攻撃連鎖。リモートの攻撃者がユーザー操作なしにFrameDecoder.cppのヒープバッファオーバーフローを引き起こし、Android 14〜17の端末上で追加権限なしに遠隔コード実行へ至る経路を示す。出典：CVE公式記録 CVE-2026-58868

同じAndroidで受信だけで起きる問題は、「SMS of Death」脆弱性で解説しています。

関連記事Android版Chromeの脆弱性、CVSS9.6は？

CVE-2026-58868の技術的特徴——ユーザー操作不要のRCE

FIRST EPSSによる統計的推定（2026年11月3日時点）では、この脆弱性の悪用確率は約0.21%（パーセンタイル0.113）と算出されている（出典：CVE公式記録）。EPSSはあくまで過去の類似脆弱性の統計的パターンに基づく推定であり、将来の悪用を保証も否定もしない。またCISA KEVへの掲載は確認されていない。

次に読む：Android版Chromeの脆弱性、どう対処？

Android版ChromeにCVE-2026-118321——CVSS9.6、修正版へ更新を

Android 脆弱性 CVE-2026-58868——影響範囲と技術特性の整理

CVE公式記録（出典：cve.org・NVD）から主要特性を整理する。

CVE-2026-58868の主要特性（CVE公式記録より、2026年11月3日時点）
項目	内容
CVE番号	CVE-2026-58868
CNA（採番元）	google_android
公開日	2026年11月2日（最終更新: 2026年11月3日）
脆弱なコンポーネント	FrameDecoder.cpp（`onOutputReceived`関数）
脆弱性の種類（CWE）	遠隔コード実行（Remote code execution）
影響を受けるバージョン	Android 14 / 15 / 16 / 16-QPR2 / 17
ユーザー操作の要否	不要
必要な実行権限	追加の実行権限なし
CVSSスコア	CVE公式記録に記載なし
CISA KEV掲載	なし（2026年11月3日時点）
EPSS（悪用確率の統計的推定）	約0.21%、パーセンタイル0.113（2026年11月3日時点）
公式修正版・回避策	CVE公式記録に記載なし（ベンダー告知を要確認）
悪用の確認状況	CVE公式記録に記載なし

CVSSスコアはCVE公式記録に記載がなく、現時点で数値による深刻度の断定はできない。

なお、CVE公式記録にはAIによる発見、AI製品の欠陥、AIを用いた攻撃のいずれも記載はなく、本脆弱性とAI技術との関係は確認されていない。

Android 脆弱性 CVE-2026-58868——今やること

現時点でCVE公式記録に修正版・回避策の記載は確認できていない。

影響を受けるバージョン（Android 14〜17）の端末を使用している場合は、ベンダーの告知に記載された修正版へ更新する。配布パッケージの修正状況は、各ベンダーの告知の修正版で判断する。上流のAndroidバージョン番号と配布物のバージョンを直接比較することはできない。
修正版が提供されていない場合は、ベンダーの公式告知に従う。現時点ではCVE公式記録に公式の回避策は確認されていない。

自社の機器が対象かどうかの判断や、すでに侵入されていないかの確認は、構成やログを見ないと判断できません。