Google 5 октября 2026 года опубликовала ежемесячный бюллетень безопасности Android. Патч с уровнем 2026-10-01 закрывает больше двадцати уязвимостей в разных частях системы. Проблемы затрагивают стек Bluetooth, модуль Wi-Fi, телефонную подсистему, NFC и системные библиотеки платформы. Часть уязвимостей позволяет удалённо выполнять код, часть ведёт к повышению привилегий, утечке данных или отказу в обслуживании. Уязвимы устройства на Android 14, 15, 16, 16-qpr2 и 17, которые ещё не получили октябрьское обновление. Для более старых версий платформы исправлений в бюллетене нет.
Детали уязвимостей
Сильнее всего выделяются проблемы в Bluetooth. Переполнение буфера, то есть запись данных за пределами выделенной области памяти, происходит при обработке служебных данных. Итог - удалённое выполнение кода без дополнительных условий. Достаточно, чтобы телефон оказался в зоне действия передатчика злоумышленника. Речь об уязвимости CVE-2026-58835, её исправление касается Android 16, 16-qpr2 и 17. Рядом ещё несколько ошибок того же профиля. Разыменование неинициализированного указателя в привилегированном процессе Bluetooth позволяет перехватить поток управления. Состояние гонки, то есть зависимость результата от порядка выполнения операций, открывает путь к выполнению кода с системными правами. Участие владельца устройства не нужно ни в одном из случаев. Bluetooth при этом включён по умолчанию и связывает телефон с наушниками, часами и автомобильными системами.
Второй крупный участок - Wi-Fi. Запись за границы буфера при разборе служебного кадра потоковой передачи аудио и видео приводит к удалённому выполнению кода, но с системными правами. Значит, злоумышленнику нужно сперва закрепиться на устройстве. Другая ошибка обходится без проверки разрешений: приложение получает возможность выйти из песочницы, то есть изолированной среды, и добраться до чужих данных. Обе уязвимости входят в модули, которые обновляются через сервисы Google Play, а не только вместе с прошивкой производителя.
Телефонная подсистема получила две критические ошибки. При разборе входящего служебного сообщения с некорректной длиной поля код читает память за пределами буфера. Результат - удалённый отказ в обслуживании без участия пользователя. В одном случае устройство перестаёт отвечать до перезагрузки. К тому же скачивать или устанавливать что-либо не требуется: отправленного по мобильной сети сообщения достаточно.
В стеке NFC нашлись ошибки чтения и записи за границами буфера. Первая раскрывает содержимое памяти, вторая повышает привилегии процесса. Здесь атакующему нужен обмен данными с устройством на близком расстоянии. Бесконтактная оплата и пропуска делают такие ошибки интересными для злоумышленников, хотя практическая ценность атаки ограничена необходимостью физической близости.
Наибольшее число критических отметок собрали системные компоненты. Ошибки в работе с памятью, неинициализированные данные и гонки при обработке входящих данных позволяют локально повысить привилегии. Одна из них допускает даже удалённое повышение привилегий. Отдельная уязвимость в службе управления политиками устройства приводит к устойчивому отказу в обслуживании. Ещё одна касается системы ведения журналов и связана с недостаточной проверкой входных данных. Оценки Google касаются худшего случая: компания считает опасность исходя из того, что встроенные средства защиты отключены или обойдены. В обычной конфигурации воспользоваться частью ошибок заметно труднее. Повышенные права открывают злоумышленнику доступ к данным приложений и системным функциям. Удалённое выполнение кода в модуле связи избавляет его от необходимости касаться экрана устройства.
Google уведомляет производителей обо всех проблемах минимум за месяц до публикации бюллетеня, поэтому вендоры получают исправления заранее. Владельцы смартфонов зависят от расторопности своего производителя. Pixel получают патч в первые дни, у ряда других брендов задержка измеряется неделями и месяцами. Массовость платформы делает заметной даже среднюю по опасности уязвимость: в мире работают сотни миллионов устройств на поддерживаемых версиях Android. Сведений об эксплуатации этих уязвимостей в реальных атаках Google не приводит. Отсутствие таких сообщений не отменяет необходимости обновиться. Bluetooth и Wi-Fi доступны снаружи без действий пользователя, и это главный довод не откладывать установку.
Проверить защиту можно в настройках устройства: уровень патча безопасности должен быть 2026-10-01 или выше. К тому же часть исправлений приходит через обновления Google Play, в том числе для телефонного модуля и Wi-Fi. Такая схема работает на Android 10 и новее. Поэтому задержка прошивки не оставляет телефон полностью незащищённым. Google напоминает и о защите Play Protect, которая включена по умолчанию на устройствах с сервисами Google и снижает риск при установке приложений из сторонних источников.
Радиоинтерфейсы остаются самым частым источником серьёзных уязвимостей Android. Ошибки в Bluetooth и Wi-Fi снова попали в число самых значимых. Дело не столько в количестве найденного, сколько в скорости доставки исправлений. Пока производитель готовит прошивку, устройство остаётся уязвимым. Проверка уровня патча и своевременная установка обновлений закрывают почти всю практическую часть риска. При выборе нового смартфона разумно смотреть, как долго и как часто производитель выпускает обновления безопасности.
Ссылки
