„Android“ naudotojams – rimtas įspėjimas: kritinės spragos gali būti išnaudotos net nieko nepaspaudus

Sekite TechNaujienos Google

Milijonams „Android“ telefonų savininkų pasirodė svarbus saugumo pranešimas. „Google“ lapkričio mėnesio „Android“ saugumo biuletenyje nurodė kelias kritines spragas, kurios tam tikromis sąlygomis gali leisti užpuolikui nuotoliniu būdu vykdyti kodą net be vartotojo paspaudimo. Tai nėra įrodymas, kad kiekvienas telefonas šiuo metu užkrėstas, tačiau pakankama priežastis nedelsti tikrinant saugumo atnaujinimus.

Oficialus biuletenis paskelbtas lapkričio 2 dieną, o lapkričio 6-ąją atnaujintas spragų sąrašas. „Google“ įvardija, pavyzdžiui, CVE-2026-58868 „Framework“ komponentuose bei CVE-2026-58876 ir CVE-2026-58936 „System“ dalyje. Šios spragos pažymėtos kaip kritinės, o dokumentacijoje pažymima, kad sunkiausių scenarijų išnaudojimui vartotojo sąveikos nereikia. Vis dėlto techniniai išnaudojimo mechanizmai ir paveikiami įrenginiai skiriasi.

Ką iš tikrųjų reiškia „be paspaudimo“

Tokio tipo pažeidžiamumas kartais vadinamas „zero-click“, nes potencialiam išpuoliui nebūtinai reikia atidaryti įtartiną nuorodą ar įdiegti programėlę. Spraga slypi pačiame sistemos komponente, kuris gali apdoroti iš išorės gaunamą informaciją. Tai viena priežasčių, kodėl saugumo pataisas verta diegti net tada, kai savininkas nesilanko pavojingose svetainėse ir laikosi įprastų atsargumo taisyklių.

„Google“ viešas pranešimas nepatvirtina, kad visos išvardytos kritinės spragos jau aktyviai išnaudojamos realiose atakose. Rizikos lygis nustatomas atsižvelgiant į tai, kas teoriškai gali nutikti paveiktame komponente. Todėl antraštės apie visų „Android“ telefonų užvaldymą vienu metu būtų klaidinančios. Svarbu atskirti pažeidžiamumo egzistavimą, jo technines sąlygas ir tikrai patvirtintus incidentus.

Naujausi straipsniai

4 min. skaitymo • prieš 10 val

Europa telkia milijardą eurų puslaidininkiams: investuotojai stiprins lustų tiekimo grandinę

4 min. skaitymo • prieš 10 val

Kompiuteriai, skaičiuojantys šviesa: Europoje prasidėjo fotoninių DI procesorių bandymai

4 min. skaitymo • prieš 10 val

Europoje kuriamas devynvietis elektrinis lėktuvas: projektui pritraukta daugiau kaip 124 mln. eurų

Visi naujausi straipsniai →

Pažeidžiamumų sąraše taip pat minimos privilegijų padidinimo ir informacijos atskleidimo problemos. Vienos susijusios su „Android“ 14 ir naujesnėmis versijomis, kitos su konkrečiais komponentais ir versijomis. Ne visi telefonų modeliai turi identišką programinį kodą, todėl galutinį pataisų pasiekiamumą lemia ir gamintojas, įrenginio lustas bei individuali atnaujinimų politika.

Ką šiandien patikrinti savo telefone

„Android“ nustatymuose atsidarykite įrenginio informaciją arba programinės įrangos atnaujinimų skiltį ir suraskite saugumo pataisos datą. „Google“ nurodo du svarbius lygius: 2026-11-01 ir 2026-11-05. Pastarasis apima visus šio biuletenio taikytinus saugumo pataisymus, o pirmasis – tik atitinkamą jų dalį. Jeigu saugumo pataisos data ankstesnė, patikrinkite, ar jūsų gamintojas jau pasiūlė naujesnį atnaujinimą.

Jei atnaujinimo nėra, tai nebūtinai reiškia, kad įrenginys privalomai pažeidžiamas kiekviena biuletenio spraga. Gamintojai pataisas pateikia skirtingu laiku, o kai kurie komponentai gali būti naudojami ne visose sistemose. Vis dėlto verta tikrinti tiek įprastą sistemos, tiek „Google Play“ sistemos atnaujinimą ir užtikrinti, kad svarbūs duomenys būtų atsarginėje kopijoje.

Lietuvos vartotojams tai ypač aktualu naudojant telefoną bankininkystei, prisijungimams prie valstybinių paslaugų ir dviejų veiksnių tapatybės patvirtinimui. Apie svarbiausius telefono apsaugos nustatymus rašėme anksčiau. Patikrinti verta ir įrenginio palaikymo trukmę: senesni modeliai gali nebegauti pilnų saugumo pataisų.

Verta prisiminti, kad net oficiali programėlių parduotuvė nėra absoliuti garantija. Ankstesnėje analizėje aptarėme VPN programėlėse rastas spragas. Tačiau šis „Android“ biuletenis kalba apie operacinės sistemos komponentus, todėl problemos sprendimas pirmiausia yra pačių pataisų diegimas, o ne papildomos apsauginės programėlės paieška.

Apibendrinant, naujasis biuletenis nėra priežastis panikuoti ar išmesti telefoną. Tai konkretus priminimas, kad saugumo atnaujinimai svarbūs net ir atsargiam naudotojui. Jei jūsų įrenginys negauna pataisų ilgą laiką, verta pasitikrinti gamintojo pažadėtą palaikymo laikotarpį ir pagalvoti apie saugiau prižiūrimą modelį.

Telefono gamintojų atnaujinimo grafikai skiriasi, todėl vartotojas gali pamatyti „Google“ paskelbtą biuletenį anksčiau, negu atitinkama pataisa atsiranda jo telefone. Patikimiausia sekti savo įrenginio gamintojo oficialų programinės įrangos naujinimų puslapį. Jei telefonas nebegaus apsaugos pataisų, ypač atsargiai reikėtų vertinti jo naudojimą prisijungimams, darbiniams dokumentams ir kitai jautriai informacijai. Saugumo programėlė negali kompensuoti visų nepašalintų operacinės sistemos spragų.

Taip pat nederėtų spausti atsitiktinių žinučių, kurios apsimeta skubiu „Android“ saugumo atnaujinimu. Oficialus sistemos naujinimas paprastai pateikiamas per paties įrenginio nustatymus arba gamintojo patikimą programą, o ne per nežinomą atsisiuntimo svetainę. Jei pranešimas prašo įvesti banko duomenis, atsiųsti APK failą arba išjungti įrenginio apsaugą, tai jau atskiras įspėjamasis signalas. Skaitmeninis saugumas prasideda nuo reguliarių pataisų ir kritiško požiūrio į nepažįstamus raginimus.

Jeigu saugumo pataisa pasiekiama, įdiekite ją naudodami patikimą interneto ryšį ir prieš tai išsaugokite svarbių duomenų kopiją. Po atnaujinimo dar kartą patikrinkite saugumo pataisos datą nustatymuose.

Šaltiniai: pirminis pranešimas; papildoma informacija.