Компания Google выпустила обновления безопасности для устранения 129 уязвимостей в системе Android, включая активно эксплуатируемую уязвимость нулевого дня в компоненте дисплея Qualcomm.
“Есть признаки того, что CVE-2026-21385 может подвергаться ограниченной, целенаправленной эксплуатации”, — сообщила компания в понедельник в своем бюллетене безопасности Android за март 2025 года.
Хотя Google не предоставила дополнительной информации об атаках, нацеленных на эту уязвимость, компания Qualcomm раскрыла в отдельном уведомлении о безопасности, выпущенном 3 февраля, что данная уязвимость представляет собой переполнение целого числа (integer overflow) или выход за пределы диапазона в подкомпоненте Graphics, которое локальные злоумышленники могут использовать для вызова повреждения памяти.
Qualcomm заявляет, что была уведомлена об этой критической уязвимости 18 декабря и проинформировала клиентов 2 февраля. Согласно ее февральскому уведомлению, в котором CVE-2026-21385 пока не отмечена как эксплуатируемая в атаках, уязвимость затрагивает 235 чипсетов Qualcomm.
В рамках мартовских обновлений безопасности Android компания Google устранила 10 критических уязвимостей в компонентах System, Framework и Kernel, которые злоумышленники могут использовать для удаленного выполнения кода, повышения привилегий или вызова условий отказа в обслуживании (denial-of-service).
“Наиболее серьезной из этих проблем является критическая уязвимость безопасности в компоненте System, которая может привести к удаленному выполнению кода без необходимости дополнительных привилегий для выполнения. Для эксплуатации не требуется взаимодействие с пользователем”, — заявила Google.
Google выпустила два набора исправлений: с уровнем безопасности 2026-03-01 и 2026-03-05. Второй набор включает все исправления из первой партии, а также патчи для закрытых сторонних компонентов и подкомпонентов ядра, которые могут быть неприменимы ко всем устройствам Android.
В то время как устройства Google Pixel получают обновления безопасности немедленно, другим производителям часто требуется больше времени на тестирование и настройку исправлений для конкретных аппаратных конфигураций.
Представители Google и Qualcomm не смогли оперативно прокомментировать BleepingComputer атаки, связанные с CVE-2026-21385, и их цели, когда с ними связались ранее сегодня.
В декабре Google выпустила исправления для двух других критических уязвимостей нулевого дня (CVE-2025-48633 и CVE-2025-48572), которые также были помечены как “подвергающиеся ограниченной, целенаправленной эксплуатации”.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Sergiu Gatlan
