Android-ის zero-click ხარვეზი გამოსწორდა, თუმცა ბევრმა ტელეფონმა შეიძლება ვერ მიიღოს განახლება

Google-მა გამოასწორა Android-ის კრიტიკული უსაფრთხოების ხარვეზი, რომელიც ჰაკერებს საშუალებას მისცემდა, ტელეფონი ხელში ჩაეგდოთ ისე, რომ მომხმარებელს არაფერი დაეკლიკა ან დაედასტურებინა. ყველაზე მძიმე ხარვეზი მედიის დამუშავების კოდშია, რომელიც გადახედვის სურათებს ქმნის. აქტიური Android-მოწყობილობების თითქმის ნახევარი ამ განახლებას ვერასდროს მიიღებს.

Zero-click ხარვეზი მედიის კოდში

2026 წლის ნოემბრის Android-ის უსაფრთხოების ბიულეტენი აფრთხილებს კრიტიკულ დისტანციური კოდის შესრულების ხარვეზზე, რომელიც ჰაკერებს მომხმარებლისთვის შეუმჩნევლად შეუძლიათ გამოიყენონ. ბიულეტენის მიხედვით, ყველაზე მძიმე პრობლემა Framework კომპონენტში არსებული კრიტიკული უსაფრთხოების ხარვეზია, რომელმაც შეიძლება გამოიწვიოს დისტანციური კოდის შესრულება დამატებითი შესრულების უფლებებისა და მომხმარებლის ჩარევის გარეშე. აღნიშნული ხარვეზი ეხება Android-ის ყველა მხარდაჭერილ ვერსიას 14-დან 17-მდე. შესაძლოა, მხარდაჭერიდან მოხსნილი Android-ის ძველი ვერსიებიც დაუცველი იყოს, რადგან დაუცველი კომპონენტი 2017 წლიდან იღებს სათავეს. ხარვეზი CVE-2026-58868 იდენტიფიკატორითაა დარეგისტრირებული და აღწერილია როგორც heap buffer overflow, რომელიც საზღვრებს გარეთ ჩაწერას იწვევს. ეს ხარვეზი Android-ის Framework კომპონენტშია, რომელიც მედიის დაკვრის დამუშავებაზეა პასუხისმგებელი, კერძოდ, FrameDecoder.cpp-ში არსებულ დაუცველ ფუნქციაში, რომელიც ვიდეოსა და ფოტოს მინიატურების მსგავს გადახედვის სურათებს ქმნის. ამჟამად საჯაროდ ხელმისაწვდომი proof-of-concept ექსპლოიტი არ არსებობს და Google-ს რეალურ გარემოში აქტიური ექსპლუატაცია არ დაუდასტურებია. თუმცა AI-ის დახმარებით მოქმედ თავდამსხმელებს შედარებით სწრაფად შეუძლიათ განახლებები შექცევითი ინჟინერიით გააანალიზონ, როგორც კი საწყისი კოდი ბიულეტენის პირველი გამოქვეყნებიდან 48 საათში საჯაროდ გამოქვეყნდება. ყველა მომხმარებელს ურჩევენ, მოწყობილობები განაახლოს უსაფრთხოების განახლების დონემდე 2026-11-01 ან უფრო ახალზე.

ბევრმა მოწყობილობამ შეიძლება განახლება ვერ მიიღოს

Android-ის გავრცელების მონაცემები აჩვენებს, რომ აქტიური მოწყობილობების 43,6% კვლავ Android 13-ზე ან უფრო ძველ ვერსიაზე მუშაობს, სადაც უსაფრთხოების მხარდაჭერა დასრულებულია და ახალი გამოსწორებები აღარ მოდის. უფრო ახალი Android-მოწყობილობების შემთხვევაში განახლება თითოეულმა მწარმოებელმა უნდა ააწყოს და გაავრცელოს, რასაც შეიძლება დაგვიანება მოჰყვეს. ბევრმა ბიუჯეტურმა ტელეფონმა, რომელთა დაპირებული განახლების ვადაც ამოიწურა, შეიძლება ნოემბრის განახლება საერთოდ ვერ მიიღოს. სხვადასხვა შეფასებით, Android ყველაზე პოპულარული მობილური ოპერაციული სისტემაა და მისი მომხმარებელთა ბაზა 4 მილიარდს უახლოვდება.

ნოემბრის განახლება 216 ხარვეზს ასწორებს

Android-ის უსაფრთხოების განახლება ჯამში 23 კრიტიკულ ხარვეზს და 193 ნაკლებად მძიმე შეცდომას ასწორებს. ის ასევე ასწორებს კრიტიკულ „SMS of Death“ ხარვეზს, რომელიც საშუალებას აძლევს თავდამსხმელებს, გამოიწვიონ Android-ის სატელეფონო სერვისის ჩამოშლა, აქტიური ზარების, მათ შორის სასწრაფო ზარების, გათიშვა და შესაძლოა გადატვირთვების უსასრულო ციკლი. სისტემის ორი კრიტიკული ხარვეზი, CVE-2026-58876 და CVE-2026-58936, თითოეული სიმძიმის სკალაზე 10 ქულიდან 9,8 ქულით შეფასებული, შეიძლება გამოიწვიოს დისტანციური კოდის შესრულება დამატებითი შესრულების უფლებებისა და მომხმარებლის ჩარევის გარეშე. kernel კომპონენტებში გამოვლინდა რამდენიმე კრიტიკული ხარვეზი, რომლებიც მავნე კოდს პრივილეგიების ამაღლების საშუალებას აძლევენ. Google-მა ასევე შეიტანა კრიტიკული გამოსწორებები MediaTek-ისა და Qualcomm-ის კომპონენტებისთვის.

წყაროები: Cybernews