OnePlus получила отчёт о цепочке уязвимостей, которая даёт обычному Android-приложению root-доступ без единого запрошенного разрешения, но вместо быстрого исправления предупредила автора исследования Расмуса Моораца о возможной юридической ответственности за публикацию технических деталей.
Моорац нашёл две проблемы в собственных компонентах OxygenOS. Первая затрагивает AtlasService, системную службу для телеметрии и отладки, которая работает с правами root и принимает Binder-вызовы от любых процессов без проверки отправителя.
Через обработчик аудиодиагностики приложение может передать свои данные в системную команду и получить UID 0, хотя на этом этапе возможности процесса ещё ограничивает SELinux. Похожий риск от привилегированных заводских компонентов OnePlus проявлялся ещё в 2017 году, когда в смартфонах обнаружили EngineerMode с возможностью получить права суперпользователя.
Второй этап использует аппаратную службу olc2. В ней есть функция doShell, которая выполняет переданную команду, если вызывающий процесс уже имеет UID 0. Первый баг как раз выполняет такое условие. В результате команда запускается в более привилегированном контексте с полным набором Linux capabilities, включая CAP_SYS_MODULE, CAP_SYS_RAWIO и CAP_SYS_PTRACE. SELinux продолжает действовать, но приложение получает доступ далеко за пределами обычной Android-песочницы.
Для атаки не нужен разблокированный загрузчик, предварительный root или специальные разрешения приложения. Пользователю достаточно установить и запустить вредоносный APK. Прямого удалённого способа взломать смартфон через интернет Моорац не показал. Сценарии, где установленной программе почти ничего не требуется от владельца, уже встречались и раньше. В 2020 году похожая модель атаки обсуждалась после обнаружения уязвимостей Qualcomm, затрагивавших множество Android-смартфонов.
Исследователь сообщил о двух ошибках OnePlus 18 апреля 2026 года. Компания подтвердила проблемы 20 мая и заявила, что уязвимости затрагивают несколько продуктов OnePlus и OPPO, но полного списка моделей и версий прошивок не раскрыла. Одновременно OnePlus заявила о своём «исключительном окончательном праве» решать, когда можно раскрывать уязвимости, и предупредила Моораца о возможных юридических последствиях публикации без согласия производителя.
Позже OnePlus попросила дополнительное время на подготовку исправлений. Моорац согласился отложить публикацию как минимум до 17 сентября. Запросы о состоянии исправлений 20 июля и 11 сентября остались без ответа, после чего 24 сентября исследователь опубликовал технический разбор с описанием обеих ошибок и цепочки повышения привилегий.
На момент раскрытия цепочка оставалась неисправленной, однако ситуация уже изменилась. Моорац впоследствии подтвердил, что на OnePlus 15 обе проблемы закрыты в OxygenOS 16.0.10.500(EX01). Статус других устройств OnePlus и OPPO пока остаётся неясным, поскольку производитель не представил полный перечень затронутых моделей и исправленных версий.
Для OnePlus нынешняя история стала уже второй заметной проблемой с раскрытием уязвимостей за несколько недель. В сентябре специалисты Doyensec рассказали о краже токена OnePlus Cloud через предустановленное приложение после девяти месяцев ожидания исправления.
Почти одновременно другая работа показала, насколько опасным может стать код, который производители добавляют поверх Android. В рамках исследования OEMpocalypse Now обычное приложение без разрешений получало root-доступ на флагманах Samsung, Xiaomi, Oppo и OnePlus через отдельные цепочки ошибок в компонентах производителей.
Похожий конфликт вокруг OxygenOS произошёл и годом ранее. В сентябре 2025 года уязвимость чтения SMS позволяла любой установленной программе получать сообщения без разрешения READ_SMS, а авторы исследования сообщали о длительном отсутствии реакции OnePlus до публичного раскрытия проблемы.
