Google публикува бюлетина за сигурност на Android за септември 2026 г., като отстранява няколко критични уязвимости, които биха могли да позволят на атакуващи да изпълняват отдалечено код върху засегнатите устройства.
Обновяването, публикувано на 8 септември, включва нива на корекции за сигурност с дата 2026-09-01 и 2026-09-05. Потребителите на Android трябва да инсталират най-новото налично обновление веднага щом производителят на тяхното устройство го пусне.
Най-сериозните дефекти засягат компонента Android System. От Google заявиха, че тези критични уязвимости могат да доведат до отдалечено изпълнение на код (RCE) без необходимост от допълнителни привилегии за изпълнение или взаимодействие с потребителя.
При успешна атака киберпрестъпник може да бъде в състояние да изпълни злонамерен код върху уязвимо устройство отдалечено, потенциално преди потребителят да научи за каквото и да е компрометиране.
Обновяване за сигурност на Android за септември 2026 г.
Септемврийското обновление коригира уязвимости от критично ниво за отдалечено изпълнение на код в System, включително CVE-2026-28604, CVE-2026-28618, CVE-2026-28639, CVE-2026-28662, CVE-2026-49882, CVE-2026-49884, CVE-2026-49919 и CVE-2026-49921. Пропуските засягат множество версии на Android, включително Android 14, Android 15, Android 16, Android 16 QPR2 и Android 17.
Бюлетинът включва и CVE-2026-52993 – критична уязвимост за отдалечено изпълнение на код в ядрото (kernel), свързана с Transparent Inter-Process Communication.
Уязвимостите на ниво ядро са от изключително значение, тъй като ядрото управлява основните системни функции и достъпа до хардуера. Експлоатацията им би могла да даде на атакуващ силни позиции вътре в операционната система.
Google също така отстранява критични дефекти за ескалация на привилегии в компонентите System и Framework, които могат да позволят на атакуващи с ограничен достъп да получат по-високи права.
Атакуващите могат да комбинират тези проблеми с други уязвимости, за да избягат от изолираната среда (sandbox) на приложенията, да получат достъп до защитени данни, да изключат механизмите за сигурност или да поемат по-широк контрол върху устройството.
Критичните проблеми във Framework включват CVE-2026-28666 и CVE-2026-55273, като и двата могат да позволят отдалечена ескалация на привилегии без взаимодействие с потребителя.
Отстранена е и уязвимостта CVE-2026-49932 – критичен проблем, водещ до отказ на услуга (Denial of Service) във Framework, който може да направи засегнатото устройство или услуга недостъпни. Нивото на корекции за сигурност от 2026-09-05 разширява обхвата към Android TV, Linux ядрото, чипсет компоненти и специфични за отделните производители драйвери.
| Component | CVE | Vulnerability Type | Severity | Affected Android Versions / Subcomponent |
|---|---|---|---|---|
| Framework | CVE-2026-28666 | Elevation of privilege | Critical | Android 14, 15, 16, 16 QPR2, 17 |
| Framework | CVE-2026-55273 | Elevation of privilege | Critical | Android 16, 16 QPR2, 17 |
| Framework | CVE-2026-49932 | Denial of service | Critical | Android 14, 15, 16, 16 QPR2, 17 |
| System | CVE-2026-28604 | Remote code execution | Critical | Android 14, 15, 16, 16 QPR2, 17 |
| System | CVE-2026-28618 | Remote code execution | Critical | Android 16, 16 QPR2, 17 |
| System | CVE-2026-28639 | Remote code execution | Critical | Android 14, 15, 16, 16 QPR2, 17 |
| System | CVE-2026-28662 | Remote code execution | Critical | Android 16, 16 QPR2, 17 |
| System | CVE-2026-49882 | Remote code execution | Critical | Android 14, 15, 16, 16 QPR2, 17 |
| System | CVE-2026-49884 | Remote code execution | Critical | Android 14, 15, 16, 16 QPR2, 17 |
| System | CVE-2026-49919 | Remote code execution | Critical | Android 14, 15, 16, 16 QPR2, 17 |
| System | CVE-2026-49921 | Remote code execution | Critical | Android 14, 15, 16, 16 QPR2, 17 |
| System | CVE-2026-27280 | Elevation of privilege | Critical | Android 14, 15, 16, 16 QPR2 |
| System | CVE-2026-28590 | Elevation of privilege | Critical | Android 14, 15, 16, 16 QPR2 |
| System | CVE-2026-33636 | Elevation of privilege | Critical | Android 14, 15, 16, 16 QPR2, 17 |
| System | CVE-2026-45515 | Elevation of privilege | Critical | Android 14, 15, 16, 16 QPR2, 17 |
| System | CVE-2026-45531 | Elevation of privilege | Critical | Android 14, 15, 16, 16 QPR2, 17 |
| System | CVE-2026-49879 | Elevation of privilege | Critical | Android 14, 15, 16, 16 QPR2, 17 |
| System | CVE-2026-49918 | Elevation of privilege | Critical | Android 16 QPR2, 17 |
| System | CVE-2026-49927 | Elevation of privilege | Critical | Android 16 QPR2, 17 |
| System | CVE-2026-55277 | Elevation of privilege | Critical | Android 16 QPR2, 17 |
| System | CVE-2026-58825 | Elevation of privilege | Critical | Android 16, 16 QPR2, 17 |
| System | CVE-2026-58820 | Elevation of privilege | Critical | Android 16, 16 QPR2, 17 |
| System | CVE-2026-58823 | Elevation of privilege | Critical | Android 17 |
| System | CVE-2026-28653 | Denial of service | Critical | Android 14, 15, 16, 16 QPR2, 17 |
| System | CVE-2026-49926 | Denial of service | Critical | Android 16 QPR2, 17 |
| System | CVE-2026-55256 | Denial of service | Critical | Android 14, 15, 16, 16 QPR2, 17 |
| Kernel | CVE-2026-31629 | Elevation of privilege | Critical | NFC |
| Kernel | CVE-2026-58846 | Elevation of privilege | Critical | Protected Kernel-Based Virtual Machine |
| Kernel | CVE-2026-58848 | Elevation of privilege | Critical | Protected Kernel-Based Virtual Machine |
| Kernel | CVE-2026-58941 | Elevation of privilege | Critical | Protected Kernel-Based Virtual Machine |
| Kernel Components | CVE-2026-52993 | Remote code execution | Critical | Transparent Inter-Process Communication |
| Qualcomm Closed-Source Components | CVE-2026-25289 | Not disclosed | Critical | Qualcomm closed-source component |
Корекциите в ядрото включват критични уязвимости за ескалация на привилегии в NFC и Protected Kernel-Based Virtual Machine компоненти, проследявани като CVE-2026-31629, CVE-2026-58846, CVE-2026-58848 и CVE-2026-58941.
Обновяването съдържа и корекции с висока степен на опасност, засягащи графични процесори Arm Mali, графични процесори Imagination Technologies PowerVR, модемни и мултимедийни компоненти на MediaTek, модемни компоненти на Unisoc и софтуер на Qualcomm. Една уязвимост в компонент със затворен код на Qualcomm, CVE-2026-25289, е оценена като критична.
От Google посочиха, че Google Play Protect продължава да следи за потенциално вредни приложения и е активиран по подразбиране на устройствата, включващи Google Mobile Services. Защитите на платформата обаче не трябва да заместват инсталирането на корекции за сигурност.
Потребителите, които инсталират приложения от източници на трети страни, са изложени на допълнителен риск и трябва да бъдат особено внимателни да поддържат обновленията на Android и Google Play System актуални.
За проверка на защитата отворете „Настройки“, преодете до „Сигурност и поверителност“ и проверете нивото на актуализация на сигурността на Android. Устройствата с ниво на корекция 2026-09-05 или по-ново съдържат всички приложими поправки от бюлетина за септември.
Устройствата с ниво 2026-09-01 получават основните корекции за Android Framework, Runtime, System и Project Mainline. В същото време по-късното ниво на корекция включва и приложимите актуализации за ядрото, TV и компонентите от производители.