Виправлено критичну вразливість Android без кліку, але багато телефонів можуть не отримати латку

Google виправила критичну вразливість безпеки Android, яка могла дозволити хакерам захопити телефон без кліку або підтвердження користувача. Найсерйозніша помилка міститься в коді обробки медіа, що створює зображення попереднього перегляду. Майже половина активних пристроїв Android ніколи не отримає латку.

Вразливість без кліку в медійному коді

Листопадовий бюлетень безпеки Android на 2026 рік попереджає про критичну вразливість віддаленого виконання коду, яку хакери можуть використати так, що користувачі нічого не помітять. У рекомендації йдеться, що найсерйозніша проблема є критичною вразливістю безпеки в компоненті Framework, яка може призвести до віддаленого виконання коду без потреби в додаткових привілеях виконання та без взаємодії з користувачем. Виділена вразливість зачіпає всі підтримувані версії Android від 14 до 17. Старіші випуски Android із завершеним життєвим циклом також можуть бути вразливими, оскільки вразливий компонент походить з 2017 року. Помилку відстежують як CVE-2026-58868 і описують як переповнення буфера купи, що спричиняє запис за межі виділеної пам'яті. Вона міститься в компоненті framework Android, відповідальному за обробку відтворення медіа, зокрема в уразливій функції FrameDecoder.cpp, що створює зображення попереднього перегляду, наприклад мініатюри відео та фото. Публічного експлойта proof-of-concept наразі немає, і Google не підтвердила активного використання в реальних атаках. Водночас зловмисники з підтримкою ШІ можуть відносно швидко розібрати латки зворотним інжинірингом, коли вихідний код буде публічно опубліковано через 48 годин після першої публікації бюлетеня. Усім користувачам радять оновити пристрої до найновішого рівня безпеки 2026-11-01 або пізнішого.

Багато пристроїв можуть не отримати латку

Дані розподілу Android показують, що 43.6% активних пристроїв усе ще працюють на Android 13 або старішому, де підтримка безпеки завершилася і нові виправлення не надходять. Для новіших пристроїв Android кожен виробник має створити й доставити латку, що може супроводжуватися затримкою. Багато бюджетних телефонів, що вийшли за межі обіцяного вікна оновлень, також можуть ніколи не отримати листопадову латку. Android є найпопулярнішою мобільною операційною системою з базою користувачів, що наближається до 4 мільярдів, за різними оцінками.

Листопадове оновлення виправляє 216 недоліків

Оновлення безпеки Android усуває 23 критичні вразливості та 193 менш серйозні помилки загалом. Воно містить виправлення критичної вразливості SMS of Death, яка дозволяє зловмисникам зупинити службу телефону Android, перервати активні виклики, зокрема екстрені, і потенційно спричинити цикл перезавантажень. Дві критичні вразливості системи, CVE-2026-58876 і CVE-2026-58936, обидві оцінені на 9.8 з 10 за шкалою серйозності, можуть призвести до віддаленого виконання коду без потреби в додаткових привілеях виконання або взаємодії з користувачем. Кілька критичних вразливостей, що дозволяють шкідливому коду підвищувати привілеї, виявлено в компонентах ядра. Google також включила критичні виправлення для компонентів MediaTek і Qualcomm.

Джерела: Cybernews