Компания Google выпустила июньский набор обновлений безопасности Android за 2026 год, закрыв 124 уязвимости в Android 14, Android 15 и Android 16, в том числе одну уязвимость нулевого дня, которая эксплуатируется в целевых атаках.
Внимание
Локальные злоумышленники могут использовать активно эксплуатируемую уязвимость высокой степени серьёзности в компоненте Android Framework (CVE-2025-48595) для повышения привилегий на устройствах с Android 14 и новее. Установите обновление при первой возможности.
Уязвимость нулевого дня CVE-2025-48595
«Есть признаки того, что уязвимость CVE-2025-48595 может эксплуатироваться в ограниченных целевых атаках», – сообщила компания в понедельник в июньском бюллетене безопасности Android за 2026 год.
«Эксплуатация многих проблем на Android затруднена благодаря улучшениям в новых версиях платформы Android. Мы рекомендуем всем пользователям по возможности обновляться до последней версии Android».
Google пока не раскрыла технические подробности уязвимости и не сообщила деталей о текущих атаках с её использованием. В прошлом аналогичные уязвимости применялись коммерческим шпионским ПО и в операциях правительственного уровня, направленных против высокопоставленных лиц и лиц, представляющих интерес.
18 критических уязвимостей
В составе обновлений безопасности Android за этот месяц Google закрыла 18 критических уязвимостей в компонентах System, Framework и в закрытых компонентах Qualcomm, которые злоумышленники могут использовать для отказа в обслуживании и повышения привилегий на необновлённых устройствах Android.
«Наиболее серьёзной из этих проблем является критическая уязвимость в компоненте Framework, которая может привести к удалённому повышению привилегий без необходимости в дополнительных привилегиях на выполнение. Взаимодействие с пользователем для эксплуатации не требуется», – добавили в Google.
Два уровня обновлений безопасности
В понедельник Google выпустила два набора исправлений – уровни обновлений безопасности 2026-06-01 и 2026-06-05:
- уровень 2026-06-01 закрывает основной набор уязвимостей платформы;
- уровень 2026-06-05 включает все исправления первого набора, а также исправления для закрытых сторонних компонентов и подкомпонентов ядра, которые могут применяться не ко всем устройствам Android.
Устройства Google Pixel получат эти обновления безопасности сразу, тогда как другим производителям обычно требуется больше времени на тестирование и адаптацию исправлений под конкретные аппаратные конфигурации.
Предыдущие уязвимости нулевого дня в Android
В предыдущих бюллетенях Google уже закрывала активно эксплуатируемые уязвимости нулевого дня:
- в декабре – две уязвимости высокой степени серьёзности CVE-2025-48633 и CVE-2025-48572;
- в марте – уязвимость нулевого дня в компоненте дисплея Qualcomm CVE-2026-21385.
Все они были помечены как находящиеся под ограниченной целевой эксплуатацией.
В прошлом месяце Google также переработала программы вознаграждения за уязвимости в Android и Chrome, предложив выплаты до 1,5 млн долларов за наиболее сложные эксплойты для Android и одновременно сократив выплаты за уязвимости, которые проще найти с помощью искусственного интеллекта.