В этом бюллетене по безопасности содержится информация об уязвимостях в защите устройств Android. Все перечисленные здесь проблемы устранены в исправлении 2026-03-05 и более новых. Информацию о том, как проверить уровень исправления системы безопасности на устройстве, можно найти в статье о сроках обновления ПО.
В течение 48 часов после выпуска этого бюллетеня мы опубликуем исправления исходного кода в хранилище Android Open Source Project (AOSP). Затем в бюллетень будут добавлены ссылки на AOSP.
Самая серьезная из проблем – критическая уязвимость в компоненте "Система", которая позволяет злоумышленнику, не обладающему дополнительными правами на выполнение, удаленно выполнять код. Для этого не требуется взаимодействие с пользователем. Уровень серьезности зависит от того, какой ущерб потенциально может быть нанесен устройству, если средства защиты будут отключены в целях разработки или злоумышленнику удастся их обойти.
Подробные сведения о том, как платформа безопасности Android и Google Play Защита помогают снизить вероятность успешного использования уязвимостей Android, можно найти в разделе Предотвращение атак.
Мы сообщаем партнерам Android обо всех проблемах не менее чем за месяц до выхода бюллетеня.
Предотвращение атак
Здесь описано, как платформа безопасности Android и средства защиты сервисов, например Google Play Защита, позволяют снизить вероятность атак на Android.
- В новых версиях Android сложнее использовать многие уязвимости, поэтому мы рекомендуем всем своевременно обновлять систему.
- Команда, отвечающая за безопасность Android, активно отслеживает злоупотребления, используя Google Play Защиту, и предупреждает пользователей об установке потенциально опасных приложений. Google Play Защита по умолчанию включена на телефонах и планшетах, использующих сервисы Google для мобильных устройств. Она особенно важна для тех, кто устанавливает приложения не из Google Play.
Описание уязвимостей (исправление системы безопасности 2026-03-01)
В этом разделе вы найдете подробную информацию обо всех уязвимостях, устраненных в обновлении системы безопасности 2026-03-01. Проблемы сгруппированы по компонентам, которые они затрагивают. Для каждого случая приведена таблица, где указаны идентификаторы CVE, ссылки, тип уязвимости, уровень серьезности и, если применимо, версии AOSP. Где возможно, мы добавляем к идентификатору ошибки ссылку на опубликованное изменение (например, список AOSP). Если таких изменений несколько, дополнительные ссылки приводятся в квадратных скобках. Устройства с Android 10 или более поздней версией ОС могут получать обновления системы безопасности, а также обновления системы через Google Play.
Framework
Самая серьезная уязвимость позволяет злоумышленнику, не обладающему дополнительными правами на выполнение кода, локально повышать привилегии. Для этого не требуется взаимодействие с пользователем.
| CVE | Ссылки | Тип | Уровень серьезности | Обновленные версии AOSP |
|---|---|---|---|---|
| CVE-2026-0047 | A-465136263 | EoP | Критический | 16-qpr2 |
| CVE-2025-32313 | A-399155883 | EoP | Высокий | 14, 15, 16 |
| CVE-2025-48544 | A-415783046 | EoP | Высокий | 14, 15, 16 |
| CVE-2025-48567 | A-377888957 | EoP | Высокий | 14, 15, 16 |
| CVE-2025-48568 | A-322157041 | EoP | Высокий | 14, 15 |
| CVE-2025-48574 | A-428700812 | EoP | Высокий | 14, 15, 16 |
| CVE-2025-48578 | A-418225717 | EoP | Высокий | 14, 15, 16 |
| CVE-2025-48579 | A-417195606 | EoP | Высокий | 14, 15, 16 |
| CVE-2025-48582 | A-369105011 | EoP | Высокий | 14, 15, 16 |
| CVE-2025-48605 | A-395640609 | EoP | Высокий | 14, 15, 16 |
| CVE-2025-48619 | A-414387646 | EoP | Высокий | 14, 15, 16 |
| CVE-2025-48634 | A-406243581 | EoP | Высокий | 14, 15, 16 |
| CVE-2025-48635 | A-446678690 | EoP | Высокий | 14, 15 |
| CVE-2025-48645 | A-443062265 | EoP | Высокий | 14, 15, 16, 16-qpr2 |
| CVE-2025-48646 | A-457742426 | EoP | Высокий | 14, 15, 16, 16-qpr2 |
| CVE-2025-48654 | A-442392902 | EoP | Высокий | 16, 16-qpr2 |
| CVE-2026-0007 | A-433251166 | EoP | Высокий | 14, 15, 16 |
| CVE-2026-0010 | A-379695596 | EoP | Высокий | 14, 15, 16 |
| CVE-2026-0011 | A-454062218 | EoP | Высокий | 14, 15, 16, 16-qpr2 |
| CVE-2026-0013 | A-447135012 | EoP | Высокий | 14, 15, 16 |
| CVE-2026-0020 | A-453649815 | EoP | Высокий | 14, 15, 16, 16-qpr2 |
| CVE-2026-0023 | A-459461121 | EoP | Высокий | 14, 15, 16, 16-qpr2 |
| CVE-2026-0026 | A-321711213 | EoP | Высокий | 14 |
| CVE-2026-0034 | A-428701593 | EoP | Высокий | 14, 15, 16, 16-qpr2 |
| CVE-2025-48630 | A-455563813 | ID | Высокий | 14, 15, 16, 16-qpr2 |
| CVE-2026-0012 | A-392614656 | ID | Высокий | 14, 15, 16 |
| CVE-2026-0025 | A-433746973 | ID | Высокий | 14, 15, 16, 16-qpr2 |
| CVE-2025-48644 | A-449181366 [2] | DoS | Высокий | 14, 15, 16, 16-qpr2 |
| CVE-2026-0014 | A-443742082 | DoS | Высокий | 14, 15, 16, 16-qpr2 |
| CVE-2026-0015 | A-445917646 | DoS | Высокий | 14, 15, 16, 16-qpr2 |
Система
Самая серьезная уязвимость позволяет злоумышленнику, не обладающему дополнительными правами на выполнение, удаленно выполнять код. Для этого не требуется взаимодействие с пользователем.
| CVE | Ссылки | Тип | Уровень серьезности | Обновленные версии AOSP |
|---|---|---|---|---|
| CVE-2026-0006 | A-423894847 [2] [3] | RCE | Критический | 16 |
| CVE-2025-48631 | A-444671303 | DoS | Критический | 14, 15, 16, 16-qpr2 |
| CVE-2025-48577 | A-413380719 | EoP | Высокий | 14, 15, 16 |
| CVE-2025-48602 | A-407562568 | EoP | Высокий | 14, 15, 16 |
| CVE-2025-48641 | A-392699284 | EoP | Высокий | 14, 15, 16, 16-qpr2 |
| CVE-2025-48650 | A-388530367 | EoP | Высокий | 14, 15, 16 |
| CVE-2025-48653 | A-435737668 [2] | EoP | Высокий | 14, 15, 16, 16-qpr2 |
| CVE-2026-0017 | A-444673089 [2] | EoP | Высокий | 16, 16-qpr2 |
| CVE-2026-0021 | A-430047417 | EoP | Высокий | 14, 15, 16, 16-qpr2 |
| CVE-2026-0035 | A-418773439 | EoP | Высокий | 14, 15, 16, 16-qpr2 |
| CVE-2024-43766 | A-288144143 [2] | ID | Высокий | 14, 15, 16 |
| CVE-2025-48642 | A-455777515 | ID | Высокий | 14, 15, 16, 16-qpr2 |
| CVE-2025-64783 | A-483074175 | ID | Высокий | 14, 15, 16, 16-qpr2 |
| CVE-2025-64784 | A-483074618 | ID | Высокий | 14, 15, 16, 16-qpr2 |
| CVE-2025-64893 | A-483075215 | ID | Высокий | 14, 15, 16, 16-qpr2 |
| CVE-2026-0005 | A-366405211 | ID | Высокий | 14, 15, 16 |
| CVE-2026-0024 | A-326211886 | ID | Высокий | 14, 15, 16, 16-qpr2 |
| CVE-2025-48585 | A-425360742 | DoS | Высокий | 16 |
| CVE-2025-48587 | A-425360073 | DoS | Высокий | 16 |
| CVE-2025-48609 | A-414388731 | DoS | Высокий | 14, 15, 16 |
Обновления системы через Google Play
Исправления указанных ниже уязвимостей включены в компоненты проекта Mainline.
| Подкомпонент | CVE |
|---|---|
| Интерфейс документов | CVE-2026-0013 |
| MediaProvider | CVE-2025-48544, CVE-2025-48567, CVE-2025-48578, CVE-2025-48579, CVE-2025-48582 |
| Медиакодеки | CVE-2026-0006 |
| MediaProvider | CVE-2026-0024, CVE-2026-0035 |
| Контроллер разрешений | CVE-2025-48653 |
| Профилирование | CVE-2025-48585, CVE-2025-48587 |
Описание уязвимостей (исправление системы безопасности 2026-03-05)
В этом разделе вы найдете подробную информацию обо всех уязвимостях, устраненных в исправлении системы безопасности 2026-03-05. Проблемы сгруппированы по компонентам, которые они затрагивают. Для каждого случая приведена таблица, где указаны идентификаторы CVE, ссылки, тип уязвимости, уровень серьезности и, если применимо, версии AOSP. Где возможно, мы добавляем к идентификатору ошибки ссылку на опубликованное изменение (например, список AOSP). Если таких изменений несколько, дополнительные ссылки указываются в квадратных скобках.
Компоненты ядра
Самая серьезная уязвимость позволяет злоумышленнику, обладающему правами на выполнение кода на уровне системы, локально повышать привилегии Для этого не требуется взаимодействие с пользователем.
| CVE | Ссылки | Тип | Уровень серьезности | Подкомпонент |
|---|---|---|---|---|
| CVE-2024-43859 | A-455892000 Upstream kernel [2] |
EoP | Критический | Файловая система, совместимая с прошивкой |
| CVE-2026-0037 | A-440584506 Upstream kernel |
EoP | Критический | Защищенная виртуальная машина KVM |
| CVE-2026-0038 | A-459479964 Upstream kernel [2] [3] [4] [5] [6] [7] |
EoP | Критический | Гипервизор |
| CVE-2025-38616 | A-440544812 Upstream kernel [2] |
EoP | Высокий | TLS |
| CVE-2025-38618 | A-439253642 Upstream kernel [2] [3] |
EoP | Высокий | vsock |
| CVE-2025-39682 | A-440544511 Upstream kernel [2] [3] |
EoP | Высокий | TLS |
| CVE-2025-39946 | A-446648770 Upstream kernel [2] [3] |
EoP | Высокий | TLS |
| CVE-2026-0029 | A-443668075 Upstream kernel [2] [3] |
EoP | Высокий | Защищенная виртуальная машина KVM |
| CVE-2026-0027 | A-456069704 Upstream kernel [2] [3] |
EoP | Критический | Защищенная виртуальная машина KVM |
| CVE-2026-0028 | A-443123065 Upstream kernel [2] [3] |
EoP | Критический | pKVM |
| CVE-2026-0030 | A-441808375 Upstream kernel [2] [3] |
EoP | Критический | pKVM |
| CVE-2026-0031 | A-443072657 Upstream kernel [2] [3] |
EoP | Критический | pKVM |
| CVE-2025-39946 | A-432728472 Upstream kernel [2] [3] |
EoP | Высокий | TLS |
| CVE-2025-40266 | A-439862698 Upstream kernel [2] [3] |
EoP | Высокий | pKVM |
| CVE-2026-0032 | A-439996285 Upstream kernel [2] |
EoP | Высокий | pKVM |
Компоненты ARM
Указанная ниже уязвимость затрагивает компоненты Arm. Подробную информацию можно получить от компании Arm. Уровень серьезности этой проблемы определяется непосредственно компанией Arm.
| CVE | Ссылки | Уровень серьезности | Подкомпонент | |
|---|---|---|---|---|
| CVE-2025-2879 |
A-427973176* | Высокий | Мали |
Компоненты Imagination Technologies
Указанные ниже уязвимости затрагивают компоненты Imagination Technologies. Подробную информацию можно получить от компании Imagination Technologies. Уровень серьезности этих проблем определяется непосредственно компанией Imagination Technologies.
| CVE | Ссылки | Уровень серьезности | Подкомпонент | |
|---|---|---|---|---|
| CVE-2025-10865 |
A-449129642* | Высокий | Графический процессор PowerVR | |
| CVE-2025-13952 |
A-464496427* | Высокий | Графический процессор PowerVR | |
| CVE-2025-58407 |
A-449121737* | Высокий | Графический процессор PowerVR | |
| CVE-2025-58408 |
A-429381685* | Высокий | Графический процессор PowerVR | |
| CVE-2025-58409 |
A-440384860* | Высокий | Графический процессор PowerVR | |
| CVE-2025-58411 |
A-449122377* | Высокий | Графический процессор PowerVR | |
| CVE-2026-21735 |
A-450584982* | Высокий | Графический процессор PowerVR |
Компоненты MediaTek
Указанные ниже уязвимости затрагивают компоненты MediaTek. Подробную информацию можно получить от компании MediaTek. Уровень серьезности этих проблем определяется непосредственно компанией MediaTek.
| CVE | Ссылки | Уровень серьезности | Подкомпонент | |
|---|---|---|---|---|
| CVE-2025-20795 |
A-457250114 M-ALPS10276761* |
Высокий | KeyInstall | |
| CVE-2026-20425 |
A-473379718 M-ALPS10320471* |
Высокий | Экран | |
| CVE-2026-20426 |
A-473321948 M-ALPS10320471* |
Высокий | Экран | |
| CVE-2026-20427 |
A-473385373 M-ALPS10320471* |
Высокий | Экран | |
| CVE-2026-20428 |
A-473385374 M-ALPS10320471* |
Высокий | Экран | |
| CVE-2026-20434 |
A-473385376 M-MOLY00782946* |
Высокий | Модем | |
| CVE-2025-20760 |
A-457246939 M-MOLY01676750* |
Высокий | Модем | |
| CVE-2025-20761 |
A-457250116 M-MOLY01311265* |
Высокий | Модем | |
| CVE-2025-20762 |
A-457246938 M-MOLY01685181* |
Высокий | Модем | |
| CVE-2025-20793 |
A-457250115 M-MOLY01430930* |
Высокий | Модем | |
| CVE-2025-20794 |
A-457251533 M-MOLY01689259* M-MOLY01586470* |
Высокий | Модем | |
| CVE-2026-20401 |
A-464955064 M-MOLY01738310* |
Высокий | Модем | |
| CVE-2026-20402 |
A-464955066 M-MOLY00693083* |
Высокий | Модем | |
| CVE-2026-20403 |
A-464955070 M-MOLY01689259* M-MOLY01689254* |
Высокий | Модем | |
| CVE-2026-20404 |
A-464812757 M-MOLY01689248* |
Высокий | Модем | |
| CVE-2026-20405 |
A-464956288 M-MOLY01688495* |
Высокий | Модем | |
| CVE-2026-20406 |
A-464956289 M-MOLY01726634* |
Высокий | Модем | |
| CVE-2026-20420 |
A-464812755 M-MOLY01738313* |
Высокий | Модем | |
| CVE-2026-20421 |
A-464956284 M-MOLY01738293* |
Высокий | Модем | |
| CVE-2026-20422 |
A-464955069 M-MOLY00827332* |
Высокий | Модем |
Компоненты другого OEM
Указанная ниже уязвимость затрагивает компоненты другого OEM. Подробную информацию можно получить от такого OEM. Уровень серьезности этой проблемы определяется непосредственно OEM.
| CVE | Ссылки | Уровень серьезности | Подкомпонент | |
|---|---|---|---|---|
| CVE-2025-48613 |
A-416491056* | Высокий | VBMeta |
Компоненты Unisoc
Указанные ниже уязвимости затрагивают компоненты Unisoc. Подробную информацию можно получить от компании Unisoc. Уровень серьезности этих проблем определяется непосредственно компанией Unisoc.
| CVE | Ссылки | Уровень серьезности | Подкомпонент | |
|---|---|---|---|---|
| CVE-2025-61612 |
A-472608390 U-3145406* |
Высокий | Модем | |
| CVE-2025-61613 |
A-472608389 U-3145409* |
Высокий | Модем | |
| CVE-2025-61614 |
A-472596020 U-3145411* |
Высокий | Модем | |
| CVE-2025-61615 |
A-472596019 U-3145413* |
Высокий | Модем | |
| CVE-2025-61616 |
A-472596017 U-3145415* |
Высокий | Модем | |
| CVE-2025-69278 |
A-472608387 U-3145418* |
Высокий | Модем | |
| CVE-2025-69279 |
A-472596366 U-3145421* |
Высокий | Модем |
Компоненты Qualcomm
Указанные ниже уязвимости затрагивают компоненты Qualcomm. Они подробнее описаны в бюллетенях по безопасности и оповещениях системы безопасности Qualcomm. Уровень серьезности этих проблем определяется непосредственно компанией Qualcomm.
| CVE | Ссылки | Уровень серьезности | Подкомпонент | |
|---|---|---|---|---|
| CVE-2025-47388 |
A-449733645 QC-CR#4207075 |
Высокий | Безопасность | |
| CVE-2025-47394 |
A-449732573 QC-CR#4202921 |
Высокий | Kernel | |
| CVE-2025-47396 |
A-449733129 QC-CR#4204623 |
Высокий | Экран | |
| CVE-2025-47397 |
A-457747735 QC-CR#4205207 [2] |
Высокий | Экран | |
| CVE-2025-47398 |
A-457746802 QC-CR#4229974 [2] |
Высокий | Экран | |
| CVE-2025-59600 |
A-465462602 QC-CR#4249775 [2] |
Высокий | Экран | |
| CVE-2026-21385 |
A-478214401 QC-CR#4387106 [2] |
Высокий | Экран |
Компоненты Qualcomm с закрытым исходным кодом
Указанные ниже уязвимости затрагивают компоненты Qualcomm с закрытым исходным кодом и подробно описаны в бюллетенях по безопасности и в оповещениях системы безопасности Qualcomm. Уровень серьезности этих проблем определяется непосредственно компанией Qualcomm.
| CVE | Ссылки | Уровень серьезности | Подкомпонент | |
|---|---|---|---|---|
| CVE-2025-47339 |
A-430042394* | Высокий | Компонент с закрытым исходным кодом | |
| CVE-2025-47346 |
A-430043562* | Высокий | Компонент с закрытым исходным кодом | |
| CVE-2025-47348 |
A-430043784* | Высокий | Компонент с закрытым исходным кодом | |
| CVE-2025-47366 |
A-436259280* | Высокий | Компонент с закрытым исходным кодом | |
| CVE-2025-47378 |
A-442620485* | Высокий | Компонент с закрытым исходным кодом | |
| CVE-2025-47385 |
A-442621008* | Высокий | Компонент с закрытым исходным кодом | |
| CVE-2025-47395 |
A-449732115* | Высокий | Компонент с закрытым исходным кодом | |
| CVE-2025-47402 |
A-457748468* | Высокий | Компонент с закрытым исходным кодом |
Часто задаваемые вопросы
В этом разделе мы отвечаем на вопросы, которые могут возникнуть после прочтения бюллетеня.
1. Как определить, установлено ли на устройство обновление, в котором устранены перечисленные проблемы?
Информацию о том, как проверить уровень исправления системы безопасности на устройстве, можно найти в статье об обновлении версии Android.
- В исправлении 2026-03-01 и более поздних решены все проблемы, соответствующие исправлению системы безопасности 2026-03-01.
- В исправлении 2026-03-05 и более новых устранены все проблемы, соответствующие исправлению системы безопасности 2026-03-05 и всем предыдущим исправлениям.
Производители устройств, распространяющие эти обновления, должны установить следующие исправления:
- [ro.build.version.security_patch]:[2026-03-01]
- [ro.build.version.security_patch]:[2026-03-05]
В обновлении системы через Google Play для некоторых устройств с Android 10 или более поздней версией ОС будет указана дата, совпадающая с датой исправления 2026-03-01. Узнайте, как устанавливать обновления системы безопасности.
2. Почему в этом бюллетене говорится о двух исправлениях системы безопасности?
Мы включили в этот бюллетень сведения о двух исправлениях, чтобы помочь нашим партнерам как можно скорее устранить уязвимости, затрагивающие все устройства Android. Рекомендуем партнерам Android решить все перечисленные выше проблемы и установить последнее исправление системы безопасности.
- На устройствах с исправлением 2026-03-01 должны быть устранены все охваченные им проблемы, а также уязвимости, упомянутые в предыдущих выпусках бюллетеня.
- На устройствах с исправлением 2026-03-05 или более новым должны быть решены все проблемы, описанные в этом бюллетене и предыдущих выпусках.
Рекомендуем партнерам собрать все исправления проблем в одно обновление.
3. Что означают сокращения в столбце Тип?
В этом столбце указан тип уязвимости по следующей классификации:
| Сокращение | Определение |
|---|---|
| RCE | Удаленное выполнение кода |
| EoP | Повышение уровня привилегий |
| ID | Раскрытие информации |
| DoS | Отказ в обслуживании |
| – | Классификация недоступна |
4. Что означает информация в столбце Ссылки?
В таблицах с описанием уязвимостей есть столбец Ссылки. Каждая запись в нем может содержать префикс, указывающий на источник ссылки, а именно:
| Префикс | Значение |
|---|---|
| A- | Идентификатор ошибки Android |
| QC- | Ссылочный номер Qualcomm |
| M- | Ссылочный номер MediaTek |
| N- | Ссылочный номер NVIDIA |
| B- | Ссылочный номер Broadcom |
| U- | Ссылочный номер UNISOC |
5. Что означает символ * рядом с идентификатором ошибки Android в столбце Ссылки?
Символ * означает, что исправление для уязвимости не опубликовано. Необходимое обновление обычно содержится в последних исполняемых файлах драйверов для устройств Pixel, которые можно скачать с сайта Google Developers.
6. Почему теперь одни уязвимости описываются в этих бюллетенях, а другие – в бюллетенях по безопасности Pixel, а также в остальных бюллетенях партнеров?
Здесь описаны уязвимости, которые необходимо устранить для соответствия последнему уровню исправления системы безопасности Android. Решать дополнительные проблемы, перечисленные в бюллетенях по безопасности партнеров, для этого не требуется. Некоторые производители, например Google, Huawei, LGE, Motorola, Nokia и Samsung, также публикуют информацию о проблемах, связанных с безопасностью выпускаемых ими устройств Android и чипсетов.
Версии
| Версия | Дата | Примечания |
|---|---|---|
| 1.0 | 2 марта 2026 г. | Бюллетень опубликован. |
| 1.1 | 6 марта 2026 г. | Добавлены ссылки на AOSP. |