إصلاح ثغرة Android بدون نقرة، لكن قد لا يحصل كثير من الهواتف على التصحيح

أصلحت Google ثغرة أمان حرجة في Android قد تتيح للمهاجمين السيطرة على هاتف من دون أن ينقر المستخدم أو يوافق على أي شيء. يكمن الخلل الأخطر في شيفرة معالجة الوسائط التي تنشئ صور المعاينة. ولن تتلقى ما يقرب من نصف أجهزة Android النشطة التصحيح أبداً.

خلل من دون نقرة في شيفرة الوسائط

تحذر نشرة أمان Android لشهر نوفمبر 2026 من ثغرة حرجة لتنفيذ كود عن بعد يمكن للمهاجمين استغلالها من دون أن يلاحظ المستخدمون شيئاً. وتقول النشرة إن المشكلة الأخطر هي ثغرة أمان حرجة في مكوّن Framework قد تؤدي إلى تنفيذ كود عن بعد من دون الحاجة إلى صلاحيات تنفيذ إضافية ومن دون تفاعل المستخدم. وتؤثر الثغرة المذكورة في جميع إصدارات Android المدعومة من 14 إلى 17. وقد تكون إصدارات Android القديمة التي انتهى دعمها معرضة للخطر أيضاً، لأن المكوّن المعرض للخطر يعود إلى عام 2017. وتُتابع الثغرة تحت المعرّف CVE-2026-58868 وتوصف بأنها تجاوز سعة مخزن heap يؤدي إلى كتابة خارج الحدود. وهي تقع في مكوّن framework في Android المسؤول عن معالجة تشغيل الوسائط، وتحديداً في دالة معرضة للخطر في ملف FrameDecoder.cpp ينشئ صور المعاينة مثل الصور المصغرة للفيديو والصور. ولا يتوافر حالياً أي استغلال إثبات مفهوم علني، ولم تؤكد Google أي استغلال نشط في الواقع. غير أن المهاجمين المدعومين بالذكاء الاصطناعي يستطيعون هندسة التصحيحات عكسياً بسرعة نسبية بمجرد نشر الشيفرة المصدرية علناً بعد 48 ساعة من النشر الأولي للنشرة. ويُنصح جميع المستخدمين بتحديث أجهزتهم إلى أحدث مستوى تصحيح أمان 2026-11-01 أو أحدث.

قد تفوت التصحيح أجهزة كثيرة

تُظهر بيانات توزيع Android أن 43.6% من الأجهزة النشطة ما زالت تعمل بإصدار Android 13 أو أقدم، حيث انتهى دعم الأمان ولا تصل التصحيحات الجديدة. وفي أجهزة Android الأحدث، على كل مصنّع أن يبني التصحيح ويشحنه، وقد يرافق ذلك تأخير. وقد لا تتلقى هواتف اقتصادية كثيرة تجاوزت فترة التحديثات الموعودة تصحيح نوفمبر أبداً. وAndroid هي نظام التشغيل الأكثر شيوعاً للهواتف المحمولة بقاعدة مستخدمين تقترب من 4 مليارات، وفق تقديرات مختلفة.

تحديث نوفمبر يعالج 216 خللاً

يعالج تحديث أمان Android 23 ثغرة حرجة و193 خطأً أقل خطورة في المجموع. ويتضمن إصلاحاً لثغرة حرجة تُعرف باسم SMS of Death، تتيح للمهاجمين إسقاط خدمة الهاتف في Android، وقطع المكالمات النشطة بما فيها مكالمات الطوارئ، وقد تسبب حلقة إعادة تشغيل. وثغرتان حرجتان في النظام، CVE-2026-58876 وCVE-2026-58936، مصنّفتان 9.8 من 10 على مقياس الخطورة، قد تؤديان إلى تنفيذ كود عن بعد من دون الحاجة إلى صلاحيات تنفيذ إضافية أو تفاعل المستخدم. وتم تحديد عدة ثغرات حرجة تتيح لشيفرة خبيثة رفع الصلاحيات في مكوّنات النواة. كما أدرجت Google إصلاحات حرجة لمكوّنات MediaTek وQualcomm.

المصادر: Cybernews