Android-ի զրո-սեղմում խոցելիությունը շտկվել է, բայց շատ հեռախոսներ կարող են չստանալ թարմացումը

Google-ը շտկել է Android-ի կրիտիկական անվտանգության խոցելիությունը, որը կարող էր հակերներին թույլ տալ տիրանալ հեռախոսին՝ առանց օգտատիրոջ սեղմման կամ հաստատման։ Ամենալուրջ սխալը գտնվում է նախադիտման պատկերներ ստեղծող մեդիայի մշակման կոդում։ Ակտիվ Android սարքերի գրեթե կեսը երբեք չի ստանա թարմացումը։

Զրո-սեղմում խոցելիությունը մեդիայի կոդում

2026 թվականի նոյեմբերի Android Security Bulletin-ը զգուշացնում է կրիտիկական հեռակա կոդի կատարման խոցելիության մասին, որը հակերները կարող են շահագործել՝ առանց օգտատերերի որևէ բան նկատելու։ Խորհրդատվությունը նշում է, որ ամենալուրջ խնդիրը Framework բաղադրիչում կրիտիկական անվտանգության խոցելիությունն է, որը կարող է հանգեցնել հեռակա կոդի կատարման՝ առանց լրացուցիչ կատարման իրավունքների անհրաժեշտության և օգտատիրոջ միջամտության։ Առանձնացված խոցելիությունը վերաբերում է աջակցվող բոլոր Android տարբերակներին՝ 14-ից մինչև 17։ Ավելի հին՝ աջակցության ժամկետն ավարտած Android թողարկումները նույնպես կարող են խոցելի լինել, քանի որ խոցելի բաղադրիչը թվագրվում է 2017 թվականից։ Սխալը հետևվում է CVE-2026-58868 նույնացուցիչով և նկարագրվում է որպես կույտի բուֆերի գերլցում, որը առաջացնում է սահմաններից դուրս գրում։ Այն գտնվում է Android-ի՝ մեդիայի նվագարկումը մշակող framework բաղադրիչում, մասնավորապես FrameDecoder.cpp-ում խոցելի ֆունկցիայում, որը ստեղծում է նախադիտման պատկերներ, օրինակ՝ տեսանյութերի և լուսանկարների մանրապատկերներ։ Հանրային փորձնական շահագործման կոդ ներկայումս հասանելի չէ, և Google-ը չի հաստատել ակտիվ շահագործում բնական պայմաններում։ Սակայն արհեստական բանականությամբ օգնվող հարձակվողները կարող են համեմատաբար արագ հակադարձ ճարտարագիտությամբ վերլուծել թարմացումները, երբ բյուլետենի սկզբնական հրապարակումից 48 ժամ անց հանրային է դառնում սկզբնական կոդը։ Բոլոր օգտատերերին խորհուրդ է տրվում թարմացնել իրենց սարքերը մինչև 2026-11-01 կամ ավելի ուշ անվտանգության թարմացման մակարդակ։

Շատ սարքեր կարող են բաց թողնել թարմացումը

Android-ի բաշխման տվյալները ցույց են տալիս, որ ակտիվ սարքերի 43.6%-ը դեռ աշխատում է Android 13-ով կամ ավելի հին տարբերակով, որտեղ անվտանգության աջակցությունն ավարտվել է և նոր շտկումներ չեն ստացվում։ Ավելի նոր Android սարքերի համար յուրաքանչյուր արտադրող պետք է կառուցի և ուղարկի թարմացումը, ինչը կարող է հապաղում առաջացնել։ Բյուջետային շատ հեռախոսներ, որոնք անցել են իրենց խոստացված թարմացման ժամկետը, կարող են նույնպես երբեք չստանալ նոյեմբերյան թարմացումը։ Android-ը ամենատարածված բջջային օպերացիոն համակարգն է՝ 4 միլիարդի մոտեցող օգտատերերի բազայով՝ ըստ տարբեր գնահատականների։

Նոյեմբերի թարմացումը շտկում է 216 խոցելիություն

Android-ի անվտանգության թարմացումը ընդհանուր առմամբ լուծում է 23 կրիտիկական խոցելիություն և 193 ավելի քիչ լուրջ սխալ։ Այն ներառում է շտկում «SMS of Death» կրիտիկական խոցելիության համար, որը հնարավորություն է տալիս հարձակվողներին վթարել Android-ի հեռախոսային ծառայությունը, ընդհատել ակտիվ զանգերը, այդ թվում՝ արտակարգ իրավիճակների զանգերը, և պոտենցիալ առաջացնել վերաբեռնման ցիկլ։ Երկու կրիտիկական լրջության համակարգային խոցելիությունները՝ CVE-2026-58876 և CVE-2026-58936, երկուսն էլ գնահատված 9.8՝ 10-ից լրջության սանդղակով, կարող են հանգեցնել հեռակա կոդի կատարման՝ առանց լրացուցիչ կատարման իրավունքների կամ օգտատիրոջ միջամտության պահանջի։ Միջուկային բաղադրիչներում հայտնաբերվել են մի քանի կրիտիկական խոցելիություններ, որոնք թույլ են տալիս չարամիտ կոդին բարձրացնել իրավունքները։ Google-ը նաև ներառել է կրիտիկական շտկումներ MediaTek և Qualcomm բաղադրիչների համար։

Աղբյուրներ՝ Cybernews