Androidの11月の更新、悪用の記述なしでも社用端末は遅れを数える

11月のAndroidの月例セキュリティ更新に、悪用が確認されたという記述はありません。Googleは11月2日に、2つのパッチレベル（2026-11-01と2026-11-05）で直す脆弱性を公開しました。カナダのサイバーセキュリティセンター（CCCS）も4日、AV26-1128で更新を呼びかけました。

ただ、告知の文面だけで社用端末の急ぎ度は決められません。9月には、Googleの告知に悪用の記述がない脆弱性が、翌日に米CISAの悪用済み脆弱性カタログ（KEV）へ入りました。手元にある端末のパッチレベルが何か月遅れているかを、先に数えておきたいところです。

11-05まで入って、11月の分がすべてふさがる

告知に載った脆弱性は、編集部で数えると216件でした。内訳は、前半の2026-11-01が119件、後半の2026-11-05が97件。

11-05の端末は、11-01の分も含めてすべて修正済み。11-01の端末には、前半の119件の修正しか入っていません。後半はチップメーカーの部品が中心で、MediaTekのモデムにはクリティカルが8件並びます。

いちばん重いのは、Frameworkのリモートコード実行（CVE-2026-58868）です。Googleによると、悪用に追加の権限も利用者の操作も要りません。番号ごとの中身は、SecPulseのCVE-2026-58868のページでご覧いただけます。

件数は月ごとの波が大きく、10月の告知は25件、9月は172件でした。11月は10月の8倍を超えます。

ややこしいのは、Google Playシステムアップデートの日付かもしれません。告知によると、Android 10以降の一部の端末では、この日付が2026-11-01と同じになります。ところが、Google Playシステムアップデートの一覧に載る修正を数えると、メディアコーデックやWi-Fiなど17件だけです。日付が11月でも、セキュリティパッチレベルが10月のままなら、11-01の残り102件は入っていないものとして扱います。

悪用の記述がない月でも、あとからKEVに入る

Googleが9月、10月、11月に出したAndroidの月例の告知には、どれも悪用を示す記述がありませんでした。11月の216件は、CISAが11月4日に更新したKEVにも1件も入っていません。

それでも、告知に書かれていないことが、悪用されていない証明になるとは限りません。

9月15日に出たPixelの告知には、モデムの脆弱性（CVE-2026-58704）が載っていました。悪用に触れた文はありません。ところがCISAは翌16日にこの番号をKEVへ入れ、期限を3日後の19日にしました。侵害されていないかを調べるよう求める印も付きました。

同じ番号は、Samsungが出した11月の更新（SMR-NOV-2026）の告知にも、Samsung Semiconductorの修正として載りました。Samsungの2026年の月ごとの一覧でこの番号が出てくるのは11月が初めてで、Pixelより2か月遅い計算です。

同じ脆弱性でも、メーカーによって修正が届く月はずれます。だから編集部は、Androidの急ぎ度は告知の文面よりも、端末ごとに遅れた月数で見るほうが確かだとみています。悪用の記述が出た月だけ動くやり方では、9月の件のように、記述がないまま3日の期限が付いた脆弱性を見落とします。

メーカーの配信は、数日から数か月の幅がある

告知が出ても、社用端末にすぐ届くわけではありません。

11月5日17時の時点でも、Pixelの11月の告知（Pixel Update Bulletin）は出ていません。9月は全体の告知から1週間後の15日、10月は翌日の6日でした。Pixelのヘルプによると、配信は通信会社と機種ごとに段階的で、届くまで数週間かかることがあります。

Samsungは11月の更新をすでに告知しました。冒頭の説明によると、対象は「主なフラッグシップ機種」です。注意書きを読むと、地域と機種で配信の時期が変わり、チップメーカーの修正がその月の更新に入らない場合もあります。216件のうち23件は、「Samsungの端末には当てはまらない」とされました。

国内メーカーでは、ソニーのXperia 10 VI（日本向けSIMフリー版のXQ-ES44）の間隔が開いています。最新の更新は7月30日で、パッチレベルは2026年7月。11月5日で98日たちましたが、次の更新は出ていません。

2026年のほかの更新は、2月19日、4月2日、6月11日でした。間隔は42日、70日、49日で、ソニーが法人向けページに書く「90日ごと」の内側に収まっていました。今は今年いちばん長い空きで、90日も超えました。

Xperia 10 VIには、Android 17への更新も配られません。社用スマホとしての扱いは、ソニー、Xperia 10 VIにAndroid 17を配らず 社用スマホの更新計画を見直すでご覧いただけます。

更新が止まった端末は、毎月ひと月ずつ遅れる

更新の提供期間を過ぎた端末には、11月の修正は届きません。

Googleのヘルプによると、Pixel 6とPixel 6 Proに更新が届く期間は、米国のGoogle Storeで発売してから5年です。発売は2021年10月なので、計算上は2026年10月で5年に達します。ただ、ヘルプはまだ2機種を「提供は終了しました」の一覧に入れていません。11月の配信がこの2機種に届くかは、Pixelの11月の告知を見るまで分かりません。

ソニーの法人向けページによると、Xperia 10 Vのセキュリティ更新は2026年6月で終わりました。終わりは10 IVが2025年6月、Ace IIIが2025年5月です。

OSの版でも線が引けます。11月の告知で修正対象に並ぶAOSPの版は14から17までで、13以前はありません。9月と10月の告知も同じでした。Android 13のまま止まった端末に、11月のパッチレベルが届く見込みは低いでしょう。

こうした端末のパッチレベルは、月が替わるたびに1か月ずつ古くなります。MDMの基準日を年に1回しか見直さない会社では、基準日を割り込むまで「準拠」のまま残るはずです。

MDMに置く基準日は、11-05にしない

Microsoft Intuneでは、Android Enterprise向けのコンプライアンスポリシーに、「最低限のセキュリティ パッチ レベル」があります。日付をYYYY-MM-DDの形で入れると、それより古い端末が非準拠になります。

ここに今日、2026-11-05を入れたらどうなるでしょうか。Pixelの11月の更新もまだで、Xperia 10 VIは7月のまま。多くの端末が非準拠になり、条件付きアクセスと組み合わせていれば、メールやTeamsに入れない社員が一斉に出るでしょう。

編集部は、11月の今なら基準日を2026-07-01あたりに置き、毎月1か月ずつ進めるのが現実的とみています。確認した中でいちばん間が空いているXperia 10 VIでも7月のパッチなので通り、それより古い端末だけが非準拠になる線です。

これは安全の線ではなく、配信の遅れに合わせた線です。4か月遅れの端末も準拠のまま残るので、KEVに端末の番号が入ったときは、その機種のグループだけ、基準日を修正が入った日付まで上げる、という2段の置き方もできます。12月に2026-08-01へ進める前には、配信が止まったままの機種がないかも確かめます。

Androidのヘルプによると、PixelとPixel Tabletは更新を裏で入れ、次の再起動で有効にします。ほかの多くの端末は、インストール中に自動で再起動します。配信が来たのに端末一覧の日付が古いPixelは、再起動していないだけかもしれません。

MDMの製品ごとの違いは、MDM・UEMの製品の地図で比べられます。

影響する会社・しない会社

• 影響する: Androidの社用スマホやタブレットを配っている会社です。11-05の更新が届くまで、機種ごとにパッチレベルの遅れを追います。
• 影響する: 私物のAndroidから会社のメールやファイルに入れる会社です。パッチレベルは社員の端末の更新しだいなので、基準日で線を引くかどうかを決めます。
• 影響する: Pixel 6やPixel 6 Pro、Xperia 10 V以前の機種、Android 13以前の端末を残している会社です。11月の修正が届かない前提で、入れ替えか接続の制限を決めます。
• 影響しない: 業務でAndroidの端末を使っていない会社です。iPhoneとiPadは、今回のGoogleの告知と関係ありません。

情シスが今日やること

1. MDMの端末一覧をパッチレベルで並べ替え、2026-07-01より古い端末の台数と機種を出します。
2. 古い端末は機種ごとに、メーカーや通信会社の更新情報のページで最新の配信日を確認します。配信済みなのに古い端末の持ち主には、更新と再起動を頼みます。
3. Pixel 6とPixel 6 Pro、Xperia 10 V以前、Android 13以前の端末を一覧にし、入れ替えの日と、それまで業務のメールや社内システムにつながせるかを決めます。
4. コンプライアンスポリシーを開いて、基準日が2026-11-05のような今月の日付になっていないかを確認します。あわせて、毎月進める担当と日を決めます。
5. CISAのKEVにAndroidやPixelの番号が入った日に、その機種だけ基準を上げられるよう、機種ごとの端末グループを用意しておきます。

7月から止まっている端末が、社内に何台あるか。悪用の記述がない今月は、その数を数えておくのにちょうどよい月です。