Две уязвимости в най-новата версия на OxygenOS могат да позволят на зловредни Android приложения да изпълняват код с root привилегии на устройства OnePlus, включително OnePlus 15, чрез експлоатиране на достъпни привилегировани услуги.
Уязвимостите са значими, тъй като подканите за разрешения в Android обикновено действат като бариера между ненадеждни приложения и чувствителни функции на устройството. Потребителят може основателно да предположи, че приложение, което не изисква никакви разрешения, има ограничени възможности.
Въпреки това, съобщените грешки в OxygenOS биха могли да заобиколят това очакване, като злоупотребяват със системни компоненти, които вече работят с повишени привилегии.
Изследователят Расмус Мооратс (Rasmus Moorats) е изпратил констатациите на OnePlus, откъдето потвърждават,телно че екипът им по сигурност е валидирал доклада и е планирал отстраняване на уязвимостите.
В имейл от 20 май 2026 г. Центърът за реагиране на инциденти по сигурността на OnePlus заявява, че проблемите засягат „всички серии продукти на OPPO с универсални рискове за сигурността“, което показва, че уязвимите компоненти може да се споделят в цялата по-широка екосистема на OPPO.
Уязвимости от тип нулев ден без разрешения в OnePlus 15
Сценарият на атаката е фокусиран върху привилегировани услуги на OxygenOS, изложени на приложения, инсталирани на телефона. Ако дадена услуга не прилага достатъчно проверка на самоличността на извикващия, разрешения на ниво подпис или валидация на входните данни, ненадеждно приложение може да изпрати манипулирани заявки, за да задейства опасни операции.
В този случай твърденият резултат е изпълнение на контролран от атакуващия зловреден код като root — акаунтът с най-високи привилегии в Android. Root достъпът би дал на атакуващия широк контрол върху устройството.
Злонамерено приложение би могло да получи достъп до защитени данни, да промени настройките за сигурност, да инсталира персистентни компоненти, да пречи на други приложения или да изключи инструменти за сигурност. Въздействието би зависило от точното поведение на услугата, конфигурацията на устройството и дали експлоатацията изисква допълнителни условия.
В предоставеното оповестяване не са включени публични доказателства за концепцията (PoC) или технически подробности за експлойт. OnePlus е поискал от изследователя да не публикува самостоятелно пълен технически анализ, метод за експлоатация или механизъм на риска, включително и след като бъдат пуснати корекции за сигурност.
Компанията заявява, че запазва крайния контрол върху публичното оповестяване на уязвимости, изпратени чрез нейната програма за сигурност. OnePlus също така насочва изследователя към официалната си платформа за сигурност или HackerOne за изпращане и обработка на възнаграждения (bounty).
Компанията заяви, че планира да издаде единно официално съобщение и да отдаде заслуженото на изследователите чрез своя списък с чест за сигурност, след като пусне изцяло актуализациите и корекциите за сигурност.
Потребителите трябва да инсталират актуализациите за сигурност на OxygenOS веднага щом станат налични. Докато производителят не публикува засегнатите версии и информация за корекции за сигурност, потребителите трябва да избягват инсталирането на приложения от ненадеждни източници (sideloading), да прегледат инсталираните си приложения и да премахнат софтуер от неизвестни разработчици.
Корпоративните администратори трябва да наблюдават управляваните устройства OnePlus и OPPO за забавени актуализации на операционната система и да ограничат инсталирането от неофициални магазини за приложения.
Случаят подчертава рисковете, създадени от привилегированите Android услуги на вендорите. Дори когато основният модел за разрешения на Android е силен, една отделна изложена системна услуга може да позволи на приложение с ниски привилегии да получи контрол далеч надхвърлящ достъпа, който потребителят е възнамерявал да предостави.