05/11/25
Zero Click-уязвимость обнаружена в системных компонентах операционной системы и описана в ноябрьском бюллетене безопасности Android за 2025 год.
Уязвимость получила идентификатор CVE-2025-48593 и признана одной из наиболее опасных за последнее время, пишет Securitylab. Она затрагивает несколько версий Android Open Source Project (AOSP) — с 13-й по 16-ю, и может быть использована для удалённого выполнения кода (RCE) без необходимости предоставления дополнительных прав или действий со стороны владельца устройства.
По оценке Google, злоумышленники способны эксплуатировать ошибку, отправляя специально сформированные сетевые пакеты либо распространяя вредоносные приложения через сторонние магазины и sideload-установки. Успешная атака открывает полный доступ к устройству, включая возможность кражи данных, установки вымогательского ПО или превращения смартфона в элемент ботнета. Проблема зарегистрирована внутри компании под номером Android bug ID A-374746961 и уже устранена в последних сборках AOSP.
Причина уязвимости связана с некорректной обработкой системных процессов, что позволяет внедрять произвольный код во время обычных операций — например, при запуске приложений или синхронизации данных в фоновом режиме. Исследователи отмечают, что по своим признакам сбой напоминает предыдущие случаи повреждения памяти, использовавшиеся для повышения привилегий на устройстве.
Кроме того, в бюллетене указана ещё одна ошибка — CVE-2025-48581. Она классифицируется как уязвимость повышения привилегий (EoP) высокой степени опасности и также присутствует в компоненте System. В отличие от RCE, для её эксплуатации требуется предварительный доступ к системе, однако она позволяет приложению получить несанкционированный контроль над чувствительными функциями устройства.
Устройства с Android 10 и более поздними версиями смогут получить обновление безопасности, однако владельцы старых моделей рискуют остаться без защиты, если производители задержат выпуск исправлений. Google рекомендует всем пользователям как можно скорее проверить наличие обновлений через раздел «Настройки — Система — Обновление системы» и установить уровень безопасности 2025-11-01, полностью устраняющий данные ошибки.
Корпорация подчёркивает, что пока использований уязвимости не замечено, но характер уязвимости делает её особенно опасной для государственных и общественных деятелей, которые часто становятся мишенью целевых атак. Фрагментация Android по-прежнему остаётся одной из ключевых проблем экосистемы, а потому своевременность реакции производителей критически важна для защиты пользователей.
