Android নভেম্বর ২০২৬ নিরাপত্তা আপডেট: CVE-2026-58868 Critical ত্রুটি ও করণীয়

সারসংক্ষেপ: Google নভেম্বর ২০২৬-এর Android নিরাপত্তা বুলেটিনে মোট ২১৬টি দুর্বলতার কথা জানিয়েছে, যার ২৩টি Critical। এর মধ্যে সবচেয়ে গুরুতরটি CVE-2026-58868—Android ১৪ থেকে ১৭ পর্যন্ত চলা ফোনে ব্যবহারকারীর কোনো কাজ ছাড়াই দূর থেকে কোড চালানোর (Remote Code Execution) ঝুঁকি। সমাধান আসবে security patch level 2026-11-01 বা তার পরের আপডেটে। এছাড়া একটি গুরুতর ত্রুটি (CVE-2026-58882) একটি ক্ষতিকর SMS পাঠিয়ে ফোনের কল-ব্যবস্থা ক্র্যাশ করাতে পারে।

এই প্রতিবেদনটি Google-এর অফিসিয়াল Android Security Bulletin (নভেম্বর ২০২৬), CVE রেকর্ড, গবেষক Mark B-এর “SMS of Death” কারিগরি লেখা, MediaTek-এর নভেম্বর বুলেটিন এবং The Hacker News-এর প্রতিবেদন মিলিয়ে লেখা। কোথাও কোনো পক্ষ বিস্তারিত জানায়নি, সেখানে সেটি স্পষ্ট করা হয়েছে।

এক নজরে

• মোট দুর্বলতা: ২১৬টি, এর মধ্যে ২৩টি Critical (Google-এর নভেম্বর বুলেটিন)।
• প্রধান ত্রুটি: CVE-2026-58868 — Framework কম্পোনেন্টে RCE, তীব্রতা Critical; ক্ষতিগ্রস্ত Android ১৪, ১৫, ১৬, ১৬-QPR2 ও ১৭।
• সমাধান: 2026-11-01 প্যাচ লেভেল Framework/System/Android runtime-এর ত্রুটিগুলো ঢেকে দেয়; 2026-11-05 প্যাচ লেভেল বুলেটিনের সব ত্রুটি (kernel, Arm, Imagination, MediaTek, Unisoc, Qualcomm সহ) ঢেকে দেয়।
• SMS জনিত ত্রুটি: CVE-2026-58882 — WAP Push SMS দিয়ে remote denial-of-service, ব্যবহারকারীর কোনো কাজ দরকার নেই।
• বাস্তবে আক্রমণ: প্রকাশের সময় (৪ নভেম্বর) Google বা CISA-র Known Exploited Vulnerabilities তালিকায় এই ত্রুটিগুলোর সক্রিয় শোষণের কোনো প্রমাণ ছিল না।
• পুরোনো ফোন: Android ১২ ও ১৩ এই তালিকায় নেই—তবে গবেষকের মতে একই কোড ওখানেও আছে, আর ঠিকটিও তারা পায় না।

মূল ত্রুটি: লগইন বা ট্যাপ ছাড়াই কোড চালানোর ঝুঁকি

Google-এর বুলেটিন অনুযায়ী CVE-2026-58868 হলো FrameDecoder.cpp ফাইলের onOutputReceived ফাংশনে heap buffer overflow থেকে সৃষ্ট একটি সম্ভাব্য “out-of-bounds write”। অর্থাৎ প্রোগ্রাম নির্ধারিত সীমার বাইরে মেমোরিতে লিখে ফেলতে পারে, যা সফলভাবে কাজে লাগানো গেলে আক্রমণকারী কোড চালাতে পারে।

বুলেটিন ও CVE রেকর্ড—দুটোর কোনোটিতেই বলা হয়নি আক্রমণকারী ঠিক কোন পথে ওই কোড পর্যন্ত পৌঁছাবে। এটাও জেনে রাখা দরকার: Android-এর তীব্রতা নির্ধারণ করা হয় এই ধরে নিয়ে যে প্ল্যাটফর্মের নিরাপত্তা ও Google Play Protect-এর সুরক্ষা বন্ধ বা ফাঁকি দেওয়া হয়েছে। অর্থাৎ বাস্তবে আক্রমণ আরও কঠিন—কিন্তু অসম্ভব নয়, তাই আপডেটই একমাত্র নিশ্চিত পথ।

দ্বিতীয় বড় ত্রুটি: একটিমাত্র SMS-এ কলব্যবস্থা অচল

নভেম্বর বুলেটিনের আরেকটি Critical ত্রুটি CVE-2026-58882—Android-এর WAP Push (SMS-এর মাধ্যমে আসা বিশেষ ধরনের বার্তা) প্রক্রিয়ার decodeWapPdu ফাংশনে। এর প্রভাব বুঝতে গবেষক Mark B-এর ২৯ অক্টোবর প্রকাশিত “SMS of Death” লেখাটি সহায়ক (যদিও বুলেটিন বা CVE রেকর্ডে বলা হয়নি যে এটি ঠিক ওই একই ত্রুটি)।

লেখা অনুযায়ী একটি ত্রুটিপূর্ণ WAP Push বার্তা com.android.phone প্রসেস ক্র্যাশ করায় এবং চলমান কল কেটে দেয়—ইমার্জেন্সি কলসহ। আক্রমণকারীর কাছে শুধু ফোন নম্বরটাই যথেষ্ট:

• ভুক্তভোগীকে কিছুই করতে হয় না—ট্যাপ, খোলা বা নোটিফিকেশন কিছুই লাগে না।
• বার্তাটি ইনবক্সে দেখা যায় না, প্রেরকের নম্বরও দেখা যায় না।
• প্রতি বার্তায় ১–২ সেকেন্ড নেটওয়ার্ক হারিয়ে যায়; ফোন চালু হওয়ার সময় বার্তাটি আবার চেষ্টা হয়, ফলে বারবার ক্র্যাশ হতে পারে।
• পরীক্ষায় একাধিক ফোন মডেলে এটি প্রতিবারই ঘটেছে।
• একটি proof-of-concept অ্যাপ প্রকাশ্যে আছে যা এক ফোন থেকে আরেকটিতে এমন বার্তা পাঠায়।

গবেষক বলছেন Android ১২ ও ১৩-তেও একই কোড আছে, কিন্তু নতুন সংস্করণের ঠিকটি তারা পায় না।

আপনার ফোন আপডেট পেয়েছে কি না—দেখুন

1. Settings অ্যাপ খুলুন।
2. About phone (বা About tablet) → Android version-এ যান।
3. দেখুন Android security update এবং Google Play system update—দুটি আলাদা তারিখ।

কোন তারিখ কী ঢাকে:

• 2026-11-01 বা তার পর: CVE-2026-58868 সহ Framework, System ও Android runtime-এর ত্রুটিগুলো ঠিক হয়েছে।
• 2026-11-05 বা তার পর: নভেম্বর বুলেটিনের সব ত্রুটি ঠিক হয়েছে—kernel এবং Arm, Imagination Technologies, MediaTek, Unisoc ও Qualcomm-এর অংশসহ।

Google দুইটি তারিখ রাখে যাতে ফোন প্রস্তুতকারকরা সব ডিভাইসে সাধারণ কিছু ঠিক আগে পাঠাতে পারে; সব ঠিক পাঠানোর জন্য উৎসাহিত করা হয়। Android ১০ বা তার পরের ফোনে কিছু ঠিক আসে Google Play system update-এর মাধ্যমেও—এই মাসের তালিকায় আরেকটি Critical ত্রুটি CVE-2026-58876 আছে। তবে CVE-2026-58868 ওই তালিকায় নেই, তাই সেটির জন্য দেখতে হবে Android security update-এর তারিখ।

বাংলাদেশে কেন এই অপেক্ষা দীর্ঘ হয়

Android-এর আপডেট নিরাপত্তা বুলেটিন প্রকাশ করলেই ফোনে পৌঁছায় না। প্রস্তুতকারক (যেমন Samsung, Xiaomi, Realme, Oppo, Vivo, Transsion) নিজেদের ফোনের জন্য ঠিকটি মানিয়ে নেয়, তারপর দেশভিত্তিক ক্যারিয়ার বা ডিভাইস প্রস্তুতকারকের চ্যানেল দিয়ে তা পাঠায়। তাই একই মাসে কিছু ফোন আপডেট পায়, কিছু পায় কয়েক সপ্তাহ পরে—আর পুরোনো বা কম দামি মডেল কখনো একেবারেই পায় না। বুলেটিনে যেসব ফোন এখনই আপডেট দিতে পারছে না, তাদের জন্য কোনো workaround দেওয়া হয়নি।

এখনই যা করবেন

1. প্যাচ লেভেল দেখুন—উপরের ধাপে। 2026-11-01 বা তার পর হলে CVE-2026-58868-এর ঠিক আপনার ফোনে আছে।
2. আপডেট চেক করুন: Settings → System → System update (ফোনভেদে “Software update”) → Check for updates। Wi-Fi ও চার্জে রাখা অবস্থায় আপডেট চালান।
3. Google Play system update-ও আলাদা করে চেক করুন—এটি অনেক সময় Play Store বা Settings-এর Security section-এ থাকে।
4. পুরোনো Android-এ থাকলে: Android ১২/১৩ বা তার আগের ফোনে সাপোর্ট শেষ হলে যত দ্রুত সম্ভব নতুন সংস্করণে যাওয়ার কথা ভাবুন—এক্ষেত্রে ঠিকটি না পাওয়ার ঝুঁকি বাস্তব।
5. ফোন বদলানোর আগে ব্যাকআপ নিন: ছবি, যোগাযোগ ও গুরুত্বপূর্ণ ফাইল ক্লাউডে বা কম্পিউটারে রাখুন।
6. নিজে রোম বা “মড” ফাইল বসাবেন না: ইন্টারনেটে পাওয়া আপডেট ফাইল বা আনঅফিসিয়াল টুল দিয়ে “প্যাচ” করার চেষ্টা বিপদ ডেকে আনতে পারে—সরকারি চ্যানেল দিয়েই আপডেট নিন।
7. Play Protect চালু রাখুন (Settings → Security)।

অন্য গুরুত্বপূর্ণ ত্রুটিগুলো

• CVE-2026-58876 ও CVE-2026-58936 — System কম্পোনেন্টে আরও দুইটি Critical RCE।
• Kernel-এ ছয়টি Critical, যার দুইটি Bluetooth কোডে; সবচেয়ে গুরুতরটি ব্যবহারকারীর কোনো কাজ ছাড়াই দূর থেকে অধিকতর অনুমতি (privilege) নেওয়ার সুযোগ দিতে পারে।
• MediaTek তাদের নভেম্বর বুলেটিনে modem কোডের Critical ত্রুটির কথা বলেছে (out-of-bounds write) এবং জানিয়েছে সক্রিয় শোষণের কোনো প্রমাণ তাদের নেই।
• Qualcomm-এর একটি ক্লোজড-সোর্স কম্পোনেন্টেও Critical ত্রুটি 2026-11-05 প্যাচে ঠিক হয়েছে।

সাধারণ কিছু প্রশ্ন

আমার ফোন কি আক্রান্ত হয়েছে?

প্রকাশের সময় এই ত্রুটির সক্রিয় শোষণের কোনো প্রমাণ ছিল না। তবে ঝুঁকি এড়াতে প্যাচ লেভেল 2026-11-01 বা তার পর করতে হবে। লেভেল পুরোনো হলে আপডেট চেক করুন।

আমার ফোনে এখনো আপডেট আসেনি—কী করব?

ফোন প্রস্তুতকারকের আপডেট সময়সূচি দেখুন এবং মাঝে মাঝে যাচাই করুন। এর মধ্যে অচেনা নম্বর থেকে আসা অদ্ভুত বার্তা বা লিংকে ক্লিক করবেন না—যদিও এই SMS ত্রুটিতে ক্লিকের দরকার হয় না, তবু সাধারণ সতর্কতা কাজে দেয়। আর ফোন যদি Android ১২/১৩ হয়, নতুন সংস্করণে যাওয়ার পরিকল্পনা করুন।

Play Store-এর আপডেট কি যথেষ্ট?

না। Google Play system update কিছু ত্রুটি ঠিক করে, কিন্তু CVE-2026-58868 সেখানে নেই—এর জন্য দরকার Android security update (2026-11-01 বা তার পর)।

ফোন “ব্রিক” হয়ে যেতে পারে?

গবেষকের লেখা অনুযায়ী, ত্রুটিপূর্ণ বার্তা বারবার এলে ফোন সাধারণ ব্যবহারকারীর পক্ষে স্বাভাবিকভাবে চালু করা কঠিন হয়ে পড়তে পারে; পুনরুদ্ধারের জন্য ADB-র মতো কারিগরি পথ লাগতে পারে। তাই পুরোনো, ঠিক না পাওয়া ফোনে ঝুঁকিটি গুরুত্বের সাথে নিন।

iPhone ব্যবহারকারীদের কিছু করার আছে?

না, এটি Android-এর ত্রুটি। তবে সব ফোনেই নিয়মিত আপডেট রাখা ভালো অভ্যাস।

সূত্র

• Android Security Bulletin — November 2026 (Google)
• CVE-2026-58868 রেকর্ড ও CVE-2026-58882 রেকর্ড
• SMS of Death — Mark B-এর কারিগরি লেখা
• MediaTek Product Security Bulletin — November 2026
• Google সহায়তা — Android সংস্করণ ও প্যাচ লেভেল দেখা
• The Hacker News — Google Issues Patches for Critical Android Flaw That Could Allow RCE Without User Interaction

নোট: এই প্রতিবেদনের কারিগরি তথ্য Google-এর অফিসিয়াল বুলেটিন ও গবেষকের লেখা থেকে নেওয়া। আপডেট কবে আপনার ফোনে পৌঁছাবে, তা ফোন প্রস্তুতকারক ও ক্যারিয়ারের ওপর নির্ভর করে—সেটি আমরা নিশ্চিত করতে পারি না।

আপনার ওয়েবসাইট, হোস্টিং বা ইমেইল নিরাপত্তা নিয়ে সহায়তা দরকার হলে আমাদের সাথে যোগাযোগ করুন। দেখুন Professional Email Hosting, WordPress Hosting এবং Server Configuration & Management।