0Day, шпионский софт и перехват прав — владельцам Android нужно обновиться прямо сейчас

Две уязвимости в Android уже использовались хакерами как zero-day до выхода исправления, следует из декабрьского бюллетеня безопасности Android. Речь идёт о брешах в компоненте Framework, которые позволяют получить доступ к данным и повысить привилегии в системе, поэтому владельцам устройств на Android имеет смысл обновиться как можно скорее.

Первая уязвимость, CVE-2025-48633, связана с раскрытием информации в Android Framework. Вторая, CVE-2025-48572, позволяет злоумышленнику повысить свои права в системе, что, например, открывает путь к установке вредоносного ПО или обходу защитных механизмов. Обе ошибки получили высокий уровень опасности, и Google отдельно отмечает, что они «могут использоваться в рамках ограниченных, целевых атак» — то есть речь идёт не о массовых эксплуатациях, а о точечных операциях против конкретных жертв.

Кто именно использует эти 0Day и с какой целью, Google не раскрывает. Однако практика последних лет показывает, что подобные бреши в мобильных ОС с удовольствием эксплуатируют вендоры коммерческого шпионского софта и группы, работающие в интересах госструктур, — прежде всего для скрытого слежения за владельцами смартфонов.

Агентство CISA добавило обе уязвимости в свой каталог Known Exploited Vulnerabilities (KEV) — перечень уязвимостей с подтверждённой эксплуатацией «в реальных условиях». Федеральным ведомствам США предписано установить исправления до 23 декабря, а всем остальным организациям CISA настоятельно рекомендует сделать то же самое, чтобы снизить риск кибератак.

Декабрьский пакет обновлений Android на этом не заканчивается. Всего Google закрыла 107 уязвимостей, 7 из которых получили статус критических. Самой опасной компания называет CVE-2025-48631 — снова в компоненте Framework. По оценке Google, эксплуатация может приводить к удалённому отказу в обслуживании (DoS) без необходимости в дополнительных правах на устройстве.

Четыре другие критические бреши связаны с ядром (CVE-2025-48623, CVE-2025-48624, CVE-2025-48637 и CVE-2025-48638) и позволяют повышать привилегии в системе. Ещё две критические уязвимости (CVE-2025-47319 и CVE-2025-47372) затрагивают закрытые компоненты Qualcomm. По данным производителя, CVE-2025-47319 может привести к утечке данных за счёт некорректного экспонирования внутренних TA-to-TA API операционной системе, а CVE-2025-47372 представляет собой переполнение буфера при чтении повреждённого ELF-файла с чрезмерно большим размером без надлежащей проверки.

На фоне проблем с Android у Google хватает забот и в браузере. В ноябре компания в экстренном порядке закрыла ещё одну zero-day — на этот раз в Chrome. Ошибка CVE-2025-13223 представляет собой ошибку типа type confusion в JavaScript-движке V8 и стала уже седьмым zero-day в Chrome с начала года. Все они на текущий момент исправлены.