Android Security Update: Η Google ανακάλυψε zero-day ευπάθειες και σε απάντηση κυκλοφόρησε το Android Security Bulletin για τον Σεπτέμβριο του 2025 (patch level 2025-09-05) για την προστασία εκατομμυρίων συσκευών.
Το δελτίο περιγράφει κρίσιμα ζητήματα τόσο σε System όσο και σε Kernel components και τονίζει τη σημασία των άμεσων ενημερώσεων για την μείωση των κινδύνων απομακρυσμένης εκτέλεσης κώδικα.
Android Security Update: CVE-2025-38352
Η κύρια διόρθωση αφορά το CVE-2025-38352, ένα σφάλμα zero-interaction στο Android System component που επιτρέπει την απομακρυσμένη εκτέλεση κώδικα χωρίς αυξημένα δικαιώματα. Η Google χαρακτηρίζει την ευπάθεια “Κρίσιμη”, σημειώνοντας ότι η επιτυχής εκμετάλλευση θα μπορούσε να δώσει στους επιτιθέμενους πλήρη έλεγχο των επηρεαζόμενων συσκευών, ακόμη και με ενεργοποιημένα τα mitigations σε περιβάλλοντα development.
Δείτε επίσης: Οι χάκερ αξιοποιούν το Hexstrike-AI για εκμετάλλευση Zero Day
Το πιο ανησυχητικό είναι ότι δεν απαιτείται καμία αλληλεπίδραση από τον χρήστη, όπως το κλικ σε σύνδεσμο ή το άνοιγμα αρχείου.
Οι διορθώσεις για το CVE-2025-38352 είναι πλέον διαθέσιμες στο Android Open Source Project (AOSP) repository.
Η Google σχεδιάζει να ενημερώσει το δελτίο με άμεσους συνδέσμους AOSP εντός 48 ωρών από τη δημοσίευση.
Android Security Update: CVE-2025-48543
Μια άλλη διόρθωση στοχεύει το CVE-2025-48543, μια ευπάθεια Αύξησης Προνομίων (EoP) στον πυρήνα του Android. Καταταγμένο ως “Υψηλής σοβαρότητας”, αυτό το ελάττωμα θα μπορούσε να επιτρέψει σε τοπικό κώδικα να αποκτήσει δικαιώματα επιπέδου root, παρακάμπτοντας τις πολιτικές SELinux και άλλες διασφαλίσεις επιπέδου kernel.
Οι επηρεαζόμενες εκδόσεις περιλαμβάνουν τα Android 13, 14, 15 και 16. Οι συνεργάτες έχουν λάβει ειδοποίηση για τα δύο ζητήματα εδώ και ένα μήνα τουλάχιστον, διασφαλίζοντας ότι οι OEMs μπορούν να ενσωματώσουν τις απαραίτητες διορθώσεις kernel στις επερχόμενες ενημερώσεις συσκευών.
Δείτε επίσης: PoC Exploit για ευπάθεια RCE στο IIS Web Deploy
Οι χρήστες συνιστάται να επαληθεύσουν ότι το επίπεδο διόρθωσης είναι τουλάχιστον 2025-09-05 και να εφαρμόσουν τις ενημερώσεις άμεσα. Οι συνεργάτες Android έχουν ενημερωθεί και οι ενημερώσεις κώδικα AOSP θα κυκλοφορήσουν σύντομα. Αυτή η συντονισμένη προσπάθεια υπογραμμίζει τη δέσμευση της Google για προληπτική διαχείριση ευπαθειών και γρήγορη ανταπόκριση σε αναδυόμενες απειλές. Οι χρήστες και οι κατασκευαστές συσκευών πρέπει να δώσουν προτεραιότητα σε αυτήν την ενημέρωση για να διατηρήσουν την ακεραιότητα της ασφάλειας του Android.
Η δημοσίευση του Android Security Bulletin Σεπτεμβρίου 2025 αναδεικνύει για άλλη μια φορά το πόσο δυναμικό και απρόβλεπτο είναι το τοπίο της κινητής ασφάλειας. Η ύπαρξη ενός zero-day με μηδενική αλληλεπίδραση χρήστη υπογραμμίζει το πιο ανησυχητικό σενάριο: μια συσκευή μπορεί να παραβιαστεί σιωπηλά, χωρίς κανένα προειδοποιητικό σημάδι. Αυτό σημαίνει ότι η έννοια της «ασφαλούς χρήσης» δεν επαρκεί πλέον· ακόμα και οι πιο προσεκτικοί χρήστες παραμένουν εκτεθειμένοι, αν οι συσκευές τους δεν ενημερώνονται έγκαιρα.
Παράλληλα, η δεύτερη ευπάθεια στον kernel αποκαλύπτει το διαχρονικό πρόβλημα της πολυπλοκότητας στο Android οικοσύστημα. Με δεκάδες εκδόσεις, διαφορετικούς OEMs και ασυνεπείς ρυθμούς διανομής patches, το ζήτημα δεν είναι μόνο τεχνικό αλλά και οργανωτικό. Η Google μπορεί να παρέχει άμεσα τον κώδικα στο AOSP, αλλά η πραγματική ασφάλεια εξαρτάται από το πότε —ή αν— οι κατασκευαστές θα ενσωματώσουν τις διορθώσεις.
Δείτε επίσης: CISA: Νέες ευπάθειες TP-Link και WhatsApp στον Κατάλογο KEV
Το θετικό στοιχείο είναι ότι η Google φαίνεται να έχει υιοθετήσει πιο συντονισμένη στρατηγική: έγκαιρη ενημέρωση συνεργατών, διαφάνεια και ταχεία διάθεση του κώδικα. Ωστόσο, αυτό δεν μειώνει την ατομική ευθύνη των χρηστών να ελέγχουν το επίπεδο ασφαλείας της συσκευής τους και να προτιμούν μοντέλα που λαμβάνουν μακροχρόνια υποστήριξη.
Στο ευρύτερο πλαίσιο, η υπόθεση δείχνει ότι η ασφάλεια σε λειτουργικά συστήματα ανοιχτού κώδικα απαιτεί συνεχή επαγρύπνηση. Κάθε καθυστέρηση στη διανομή patches ισοδυναμεί με παράθυρο ευκαιρίας για κυβερνοεγκληματίες. Έτσι, η συζήτηση για την ασφάλεια του Android δεν μπορεί να περιορίζεται στο επίπεδο του λογισμικού, αλλά πρέπει να επεκτείνεται και στην ευθύνη των κατασκευαστών να προστατεύουν τους πελάτες τους έγκαιρα και με συνέπεια.
