Google исправила 129 проблем безопасности в Android, включая уязвимость «нулевого дня» в Qualcomm

Компания Google выпустила обновления безопасности для Android 14, Android 15 и Android 16, устраняющие 129 уязвимостей в Android, включая активно эксплуатируемую уязвимость «нулевого дня» в компоненте дисплея Qualcomm.

В бюллетени безопасности Android указано:

Есть признаки того, что CVE-2026-21385 может использоваться в рамках ограниченных, целевых атак.

Хотя Google не предоставляет дополнительных подробностей об атаках, нацеленных на эту уязвимость, Qualcomm в отдельном уведомлении по безопасности от 3 февраля раскрыла, что проблема представляет собой целочисленное переполнение (integer overflow или wraparound) в графическом подкомпоненте. Локальные злоумышленники могут использовать уязвимость  для повреждения памяти.

Qualcomm заявила, что получила уведомление об этой уязвимости высокой степени опасности 18 декабря и проинформировала своих клиентов 2 февраля. Согласно февральскому бюллетеню, в котором CVE-2026-21385 пока не отмечена как эксплуатируемая в атаках, проблема затрагивает 235 чипсетов Qualcomm.

В рамках мартовских обновлений безопасности Android Google также устранила 10 критических уязвимостей в компонентах System, Framework и Kernel, которые злоумышленники могут использовать для удаленного выполнения кода, повышения привилегий или организации отказа в обслуживании (DoS).

В Google заявили:

Наиболее серьезной из этих проблем является критическая уязвимость в компоненте System, которая может привести к удаленному выполнению кода без необходимости дополнительных привилегий. Для эксплуатации не требуется взаимодействие с пользователем.

Google выпустил два уровня обновлений безопасности: 2026-03-01 и 2026-03-05. Второй включает все исправления из первого пакета, а также патчи для закрытых сторонних компонентов и компонентов ядра, которые могут применяться не ко всем устройствам Android.

Устройства Google Pixel получают обновления безопасности сразу, тогда как другим производителям обычно требуется больше времени для тестирования и адаптации патчей под конкретные аппаратные конфигурации.

В декабре Google также выпустила исправления для двух других уязвимостей «нулевого дня» высокой степени опасности (CVE-2025-48633 и CVE-2025-48572), которые также были отмечены как «используемые в рамках ограниченных, целевых атак».