OnePlus 15, работещ с най-новата версия на OxygenOS, може да бъде придобие root достъп от злонамерено приложение, инсталирано от собственика, което не изисква никакви специални разрешения. Изследователят Расмус Мооратс (Rasmus Moorats) свърза две уязвимости в собствения софтуер на OnePlus, за да получи root достъп — най-високото ниво на контрол върху телефон с Android.

От OnePlus са го информирали, че същите уязвимости засягат още много техни устройства, както и такива на OPPO, макар че не са посочили кои точно.

OnePlus потвърди и двете уязвимости през май. В същия отговор компанията заявява пред Мооратс, че единствено тя решава кога да оповести публично дадена уязвимост, и го предупреждава, че публикуването без нейно разрешение може да доведе до правна отговорност. Въпреки това той публикува констатациите си на 24 септември, когато OnePlus все още не беше пуснала корекция за сигурност.

OnePlus изложи позицията си в отговора, който Мооратс публикува в пълен текст. В него се казва, че се планира корекция, но компанията твърди, че притежава „изключителното крайно право за оповестяване на уязвимости“ и го уведомява, че дори след пускането на корекцията, изследователите нямат право самостоятелно да публикуват пълни технически подробности.

Компанията твърди, че европейските правила за киберсигурност изискват от производителите да приемат и отстраняват докладваните проблеми, но не позволяват на изследователите да ги разкриват без съгласието на производителя. Тя предупреждава, че ако той публикува без разрешение, OnePlus ще „търси съответната правна отговорност в съответствие с приложимите закони“.

Как работи атаката

Мооратс открива първата уязвимост в услуга на OnePlus, наречена AtlasService, която събира данни за отстраняване на грешки, работи като root и приема извиквания от всяко приложение, без да проверява кой го извиква.

Специално форматирано извикване достига до инструмент за дебъгване на OnePlus, който взема текста от приложението и го вмъква, без проверка, в системна команда. Това предоставя на приложението root достъп, но само в рамките на ограничена системна зона, наречена dumpstate, която не може да прави всичко, което стандартно позволява root достъпът.

Втората уязвимост довършва задачата. OnePlus доставя друга услуга — хардуерен помощник, наречен olc2, с команда, която изпълнява всяка получена shell инструкция. Единствената ѝ защита е изискването извикващият вече да има root достъп, което се осигурява от първата уязвимост.

Този път командата се изпълнява в зона, която предоставя всички Linux привилегии от ниско ниво, включително възможността за зареждане на код в ядрото, давайки на приложението пълен контрол над устройството на системно ниво.

Кой е засегнат и какво можете да направите

Атаката е локална. Злонамереното приложение трябва първо да бъде инсталирано и стартирано на телефона, така че атаката не може да бъде осъществена през интернет. Но веднъж попаднало там, приложението не се нуждае от никакви разрешения и не показва никакви подкани на потребителя, като методът е сработил на стандартен телефон, който Мооратс не е модифицирал.

Няма доказателства някой да е използвал тези уязвимости в реална атака.

Мооратс също така потвърди атаката и на по-стар OnePlus 12 Pro и очаква същият проблем да съществува като цяло в OxygenOS 16. OnePlus и OPPO изграждат телефоните си върху споделен софтуер, поради което предупреждението на OnePlus обхваща и двете марки.

Към момента на оповестяването от Мооратс, OnePlus не беше асоциирала CVE номер и не беше пуснала корекция за сигурност, като не може да бъде намерено и официално бюлетин от OnePlus, именуващо уязвимостите. Докато не бъде издадено обновяване, единствената практическа защита е именно това, от което атаката се нуждае, за да започне: инсталирайте приложения само от доверени източници, тъй като кодът не може да се изпълни без злонамерено приложение на телефона.

Според хронологията на Мооратс, процеса по разкриване е продължил около пет месеца:

  • 18 април 2026 г.: съобщава за двете уязвимости на OnePlus.
  • 20 май: OnePlus ги потвърждава, претендира за пълен контрол върху оповестяването и предупреждава за правна отговорност при публикуване.
  • 22 юни: OnePlus предоставя актуализация за работата по отстраняване на уязвимостите и го моли да изчака, като той се съгласява да не публикува преди 17 септември.
  • 20 юли и 11 септември: той изпраща запитвания за статус, но не получава отговор.
  • 24 септември: той публикува информацията.

Отделно от това, това не е единственият скорошен случай на инсталирано приложение, достигащо до root достъп във водещи Android смартфони.

През август Лукас Маар (Lukas Maar), изследовател във фирмата за сигурност Calif, демонстрира различна техника, която позволява на приложение без никакви разрешения да придобие root достъп върху заключени телефони с най-новия фърмуер от Samsung, Xiaomi, OPPO, OnePlus и Realme, атакувайки кода, който производителите добавят към Android.

OnePlus и преди е реагирала бавно на съобщения от изследователи. През 2025 г. Rapid7 съобщи за отделна уязвимост в OxygenOS, която позволяваше на всяко приложение да чете текстовите съобщения на потребителя, и заяви, че от OnePlus не са отговорили, докато изследването не е станало публично достояние.