Атака RCE без щелчка: Google подтверждает критическую уязвимость, предоставляющую полный доступ к телефонам Android
Хакеры могут проникнуть в телефон Android, пока вы просто просматриваете панель новостей.
Компания Google выпустила срочное предупреждение о критической уязвимости в Android, которая позволяет злоумышленникам выполнять произвольный код на устройстве без какого-либо участия пользователя. Уязвимость Zero Click была обнаружена в системных компонентах операционной системы и описана в бюллетене по безопасности Android за ноябрь 2025 года.
Уязвимости присвоен идентификатор CVE-2025-48593 и признана одной из самых опасных уязвимостей последнего времени. Это влияет на несколько версий Android Open Source Project (AOSP) – с версии 13 по 16. – и может использоваться для удаленного выполнения кода (РЦЭ – удаленное выполнение кода), не требуя дополнительных разрешений или действий от владельца устройства.
По оценкам Google, злоумышленники могут воспользоваться этой уязвимостью, отправляя специально созданные сетевые пакеты или распространяя вредоносные приложения через сторонние магазины и боковые установки. Успешная атака открывает полный доступ к устройству, включая возможность украсть данные, установить программу-вымогатель или превратить смартфон в ботнет. Проблема зарегистрирована внутри системы Android под идентификатором ошибки A-374746961 и теперь исправлена в последних сборках AOSP.
Причина уязвимости связана с неправильной обработкой системных процессов, которая допускает внедрение произвольного кода во время обычных операций — например, при запуске приложений или синхронизации данных в фоновом режиме. Исследователи отмечают, что эта ошибка напоминает предыдущие случаи повреждения памяти, которые использовались для повышения привилегий устройства.
Кроме того, об этом говорится в бюллетене. еще одна ошибка – CVE-2025-48581. Она классифицируется как уязвимость высокого риска несанкционированного повышения привилегий (EoP) и также присутствует в системном компоненте. В отличие от RCE, для использования он требует предварительного доступа к системе, но позволяет приложению получить несанкционированный контроль над конфиденциальными функциями устройства.
Устройства с Android 10 и выше смогут получить обновление безопасности, однако владельцы старых моделей рискуют остаться незащищенными, если производители задержат выпуск патчей. Google рекомендует всем пользователям как можно скорее проверить наличие обновлений через «Настройки» — «Система» — «Обновление системы» и установить уровень безопасности 2025-11-01, что полностью исправляет эти ошибки.
В корпорации подчеркивают, что активных эксплойтов пока зарегистрировано не было.однако характер уязвимости делает ее особенно опасной для государственных и общественных деятелей, которые часто становятся объектами целенаправленных атак. Фрагментация Android по-прежнему остается одной из ключевых проблем экосистемы, поэтому своевременная реакция производителей имеет решающее значение для защиты пользователей. Эксперты советуют включать автоматические обновления и избегать установки приложений из непроверенных источников — это остается наиболее надежным способом минимизировать риски в условиях роста мобильных угроз.
