В августовском бюллетене безопасности Google Pixel раскрыта уязвимость CVE-2026-0163, затрагивающая все поддерживаемые устройства Pixel. Ошибка связана с компонентом обработки видео и позволяет удалённому злоумышленнику повысить привилегии на устройстве без взаимодействия с пользователем. Производитель уже выпустил исправление в составе обновления безопасности с уровнем патча 2026-08-05.
Уязвимость CVE-2026-0163
Суть проблемы заключается в некорректной работе с памятью при обработке видеофайлов. В определённых сценариях программа обращается к уже освобождённой области памяти, что может привести к нарушению работы процесса и создаёт условия для выполнения произвольного кода. Исследователи классифицировали эту ошибку как использование после освобождения. В бюллетене Google ей присвоен тип "повышение привилегий" и уровень High, что соответствует высокой степени опасности.
Особенность уязвимости в том, что для её эксплуатации не требуется наличие на устройстве вредоносного программного обеспечения или специального доступа. Атакующий может отправить на смартфон специально сформированный видеоконтент, который инициирует ошибку в драйвере видеопроцессора. Успешное использование уязвимости позволит злоумышленнику получить расширенные права в системе Android, вплоть до полного контроля над устройством. Поскольку для атаки не нужно участие владельца смартфона, риск повышается: достаточно, чтобы потенциальная жертва получила и открыла вредоносный файл.
Затронуты все версии Google Pixel, на которых не установлено обновление безопасности от 5 августа 2026 года. Это касается как актуальных моделей, так и устройств, которые всё ещё получают обновления от Google. В компании отмечают, что патч закрывает не только данную уязвимость, но и ряд других проблем, перечисленных в августовском бюллетене Android Security Bulletin. Таким образом, установка свежего обновления рекомендуется всем пользователям Pixel.
Google выпускает бюллетени безопасности для устройств Pixel ежемесячно. В них описываются уязвимости, которые были исправлены в рамках очередного цикла обновлений. Уязвимость CVE-2026-0163 стала одной из немногих в этом выпуске, получивших высокий уровень опасности. Обычно ошибки такого класса привлекают внимание исследователей и злоумышленников, поскольку они позволяют развить атаку с удалённой отправки файла до полного захвата устройства. В реальных атаках подобные проблемы в медиакомпонентах Android нередко используются связке с другими вредоносными инструментами для скрытого проникновения.
Для проверки уровня безопасности устройства необходимо зайти в настройки Android, открыть раздел "О телефоне" и посмотреть дату последнего обновления системы. Если указан уровень патча 2026-08-05 или более поздний, устройство защищено от этой уязвимости. В противном случае стоит как можно скорее установить доступное обновление. Образы прошивок также доступны на сайте Google для разработчиков, их можно установить вручную, но большинству пользователей проще дождаться стандартного уведомления о загрузке обновления по воздуху.
Разработчики Google отмечают, что само по себе наличие уязвимости не означает, что она активно эксплуатируется в реальных атаках. Однако удалённый вектор атаки и отсутствие необходимости во взаимодействии с пользователем делают эту ошибку привлекательной для потенциальных злоумышленников. Особенно это касается устройств, которые используются для работы с чувствительными данными или имеют доступ к корпоративным ресурсам. В таких случаях задержка с установкой патча может привести к серьёзным последствиям, включая компрометацию корпоративной переписки, кражу учётных данных и доступ к внутренним системам компании.
Уязвимость CVE-2026-0163 была внесена в реестр CVE 4 августа 2026 года, а уже 5 августа вышло обновление безопасности Pixel. Это сравнительно короткий срок между публикацией данных об ошибке и выпуском исправления. Тем не менее информация об уязвимости стала публичной, поэтому злоумышленники могут попытаться воспроизвести атаку, изучив описание проблемы. Пользователям, которые по каким-то причинам откладывают обновления, рекомендуется пересмотреть свои привычки: регулярная установка исправлений остаётся одним из самых эффективных способов защиты от неизвестных атак.
Google также напоминает, что в августовском бюллетене Android Security Bulletin, опубликованном одновременно с бюллетенем Pixel, описаны и другие уязвимости платформы. Часть из них уже получила исправления в открытом коде Android, однако для устройств Pixel окончательная защита достигается только после установки полного обновления прошивки. Поэтому переход на уровень патча 2026-08-05 закрывает не только проблему в видеопроцессоре, но и все остальные известные ошибки безопасности, включённые в текущий цикл обновлений.
Пользователям всех поддерживаемых моделей Google Pixel рекомендуется установить августовское обновление, как только оно станет доступно на их устройствах. В зависимости от региона и оператора связи доставка обновления может занять от нескольких дней до пары недель. Тем, кто не хочет ждать автоматической установки, можно воспользоваться инструментами для ручной прошивки, но перед этим необходимо создать резервную копию данных. Регулярное обновление устройств остаётся основной рекомендацией для поддержания безопасности мобильных устройств, особенно когда речь идёт об уязвимостях, которые могут быть использованы удалённо и без ведома пользователя.
Ссылки
- https://source.android.com/docs/security/bulletin/pixel/2026/2026-08-01
- https://www.cve.org/CVERecord?id=CVE-2026-0163
