بولتن امنیتی اندروید سپتامبر ۲۰۲۶؛ وصلهٔ اجرای کد از راه دور

پروژهٔ متن‌باز اندروید (Android Open Source Project) در ۸ سپتامبر ۲۰۲۶ بولتن امنیتی ماه سپتامبر را منتشر کرد و در ۱۰ سپتامبر همان سال آن را به‌روزرسانی نمود. این سند جزئیات آسیب‌پذیری‌هایی را که دستگاه‌های اندرویدی را تحت‌تأثیر قرار می‌دهد شرح می‌دهد و اعلام می‌کند که سطح‌های وصلهٔ امنیتی ۲۰۲۶-۰۹-۰۵ یا جدیدتر همهٔ مسائل فهرست‌شده در این بولتن را برطرف می‌کنند.

به نوشتهٔ بولتن، شدیدترین مورد، آسیب‌پذیری امنیتی بحرانی در مؤلفهٔ System است که می‌تواند به اجرای کد از راه دور بدون نیاز به امتیاز اجرای اضافی منجر شود؛ برای بهره‌برداری از این مورد، تعامل کاربر لازم نیست. ارزیابی شدت بر پایهٔ اثر احتمالی بهره‌برداری روی دستگاه آسیب‌دیده انجام شده‌است، با فرض غیرفعال بودن یا دور زدن موفق کاهش‌دهنده‌های پلتفرم و سرویس در محیط توسعه.

دو سطح وصلهٔ ۲۰۲۶-۰۹-۰۱ و ۲۰۲۶-۰۹-۰۵

بولتن سپتامبر دو سطح وصله دارد تا شرکای اندروید بتوانند زیرمجموعه‌ای از آسیب‌پذیری‌های مشترک را سریع‌تر پوشش دهند. شرکا تشویق می‌شوند همهٔ مسائل این بولتن را اصلاح کنند و از جدیدترین سطح وصله استفاده نمایند.

دستگاه‌هایی که سطح وصلهٔ ۲۰۲۶-۰۹-۰۱ را اعلام می‌کنند باید همهٔ مسائل مرتبط با همان سطح و نیز اصلاحات بولتن‌های قبلی را داشته باشند. دستگاه‌هایی با سطح ۲۰۲۶-۰۹-۰۵ یا جدیدتر باید همهٔ وصله‌های قابل‌اعمال این بولتن و بولتن‌های پیشین را شامل شوند. رشتهٔ سطح وصله در سامانه با مقادیر ro.build.version.security_patch برابر ۲۰۲۶-۰۹-۰۱ یا ۲۰۲۶-۰۹-۰۵ تنظیم می‌شود.

تیم امنیتی اندروید اعلام کرده‌است که شرکای اندروید دست‌کم یک ماه پیش از انتشار بولتن از همهٔ مسائل مطلع می‌شوند. کد منبع وصله‌ها به مخزن AOSP منتشر و از همین بولتن پیوند داده شده‌است؛ پیوندهایی نیز به وصله‌های خارج از AOSP آمده‌است.

در بخش Framework، شدیدترین آسیب‌پذیری‌ها می‌توانند به افزایش امتیاز از راه دور بدون نیاز به امتیاز اضافی و بدون تعامل کاربر بینجامند. در جدول این بخش چندین مورد با شدت Critical و انواع RCE، EoP و DoS برای نسخه‌های به‌روزشدهٔ AOSP از جمله ۱۴، ۱۵، ۱۶، ۱۶-qpr2 و ۱۷ فهرست شده‌است.

در بخش System نیز چندین مورد اجرای کد از راه دور با شدت Critical آمده‌است، از جمله شناسه‌هایی مانند CVE-2026-28604، CVE-2026-28618، CVE-2026-28639 و CVE-2026-28662. افزون بر این، موارد افزایش امتیاز و انکار سرویس با شدت Critical و High در همان بخش گزارش شده‌اند. آسیب‌پذیری‌هایی نیز در Android runtime (از جمله CVE-2026-28664 با نوع افزایش امتیاز محلی) و Setup Wizard ذکر شده‌اند.

هسته، تلویزیون و قطعات سازندگان

سطح وصلهٔ ۲۰۲۶-۰۹-۰۵ علاوه بر مسائل سطح ۰۹-۰۱، آسیب‌پذیری‌های بخش تلویزیون و هسته را نیز پوشش می‌دهد. در هسته، مواردی از افزایش امتیاز با شدت Critical در زیربخش‌هایی مانند NFC و Protected Kernel-Based Virtual Machine و نیز یک مورد اجرای کد از راه دور در Transparent Inter-Process Communication فهرست شده‌است.

بولتن همچنین آسیب‌پذیری‌های مربوط به قطعات Arm (از جمله Mali)، Imagination Technologies (PowerVR-GPU)، MediaTek، Unisoc، Qualcomm، Tsingteng Micro و مؤلفه‌های بسته‌منبع Qualcomm را آورده‌است؛ جزئیات بیشتر این موارد نزد همان سازندگان است و شدت آن‌ها نیز از سوی همان تأمین‌کنندگان ارزیابی شده‌است.

به‌روزرسانی‌های Google Play system

بخشی از مسائل در به‌روزرسانی‌های سیستم گوگل‌پلی (Project Mainline) گنجانده شده‌اند؛ از جمله مؤلفه‌هایی مانند ART، Media Framework، Documents UI، Media Codecs، MediaProvider، Telephonycore، UWB، WiFi و adbd. برای برخی دستگاه‌های اندروید ۱۰ و جدیدتر، تاریخ به‌روزرسانی سیستم گوگل‌پلی می‌تواند با سطح وصلهٔ ۲۰۲۶-۰۹-۰۱ هم‌خوان باشد.

بولتن به کاهش‌دهنده‌های پلتفرم و خدماتی مانند Google Play Protect نیز اشاره می‌کند که احتمال بهره‌برداری موفق را کاهش می‌دهند و به‌طور پیش‌فرض روی دستگاه‌های دارای خدمات موبایل گوگل فعال‌اند. بهره‌برداری از بسیاری از مسائل در نسخه‌های جدیدتر اندروید دشوارتر شده‌است و به کاربران توصیه شده در صورت امکان به آخرین نسخه به‌روزرسانی کنند.

برای بررسی وضعیت دستگاه، کاربر می‌تواند سطح وصلهٔ امنیتی را در تنظیمات سامانه ببیند و در صورت موجود بودن، به‌روزرسانی سازنده یا به‌روزرسانی سیستم گوگل‌پلی را نصب کند. نسخهٔ ۱٫۰ بولتن در ۸ سپتامبر و نسخهٔ ۱٫۱ با به‌روزرسانی فهرست مسائل و پیوندهای AOSP در جدول نسخه‌های سند آمده‌است.

آیا سطح وصلهٔ امنیتی دستگاه شما به ۲۰۲۶-۰۹-۰۵ یا جدیدتر رسیده‌است؟

بعد از خواندن مطلب بپرسید؛ پاسخ فقط از همین مقاله است.

این مطلب برایتان مفید بود؟

رایان جهانی خبرنگار موبایل، کامپیوتر و گجت فیسیت است. گوشی، لپ‌تاپ، قطعه و گجت را پوشش می‌دهد و مشخصات روی کاغذ را با واقعیت بازار ایران می‌سنجد؛ عدد بنچمارک را بدون قیمت، گارانتی و کاربرد روزمره رها نمی‌کند.

علاقه‌اش به این است که بفهمد یک دستگاه در دست کاربر چطور کار می‌کند، نه فقط روی اسلاید رونمایی. خبر معرفی و مقایسهٔ مدل‌های موبایل و سخت‌افزار را معمولاً او می‌نویسد.

ترفند Private Space اندروید؛ مخفی‌کردن اپ‌های حساس با قفل جدا

ترفند Advanced Protection؛ امنیت اندروید را با یک سوئیچ بالا ببرید

آموزش استفاده از Find Hub و Motion Assist در Android Drop سپتامبر