Xiaomi сталкивается с одной из самых серьезных уязвимостей безопасности, когда-либо обнаруженных в ее операционной системе HyperOS. Уязвимость затрагивает более 160 моделей смартфонов брендов Xiaomi, POCO и Redmi, позволяя злоумышленникам внедрять вредоносное ПО или получать повышенные системные разрешения с помощью определенных команд через ADB. Эксперты по кибербезопасности подчеркивают, что проблема может поставить под угрозу личные данные и позволить удаленно управлять устройством даже на устройствах с заблокированным загрузчиком.
Уязвимость находится во внутренней диагностической службе miui.mqsas.IMQSNative. Злоумышленники используют этот компонент, отправляя целевые команды ADB, что приводит к несанкционированному выполнению кода и доступу, эквивалентному привилегиям root. Этот тип взлома представляет собой значительный риск, поскольку он не требует физической разблокировки загрузчика, что облегчает удаленные или локальные атаки в распространенных сценариях использования.
Пользователи, у которых включена отладка по USB, подвергаются большему риску, поскольку метод эксплуатации зависит от работы этого параметра. Немедленная деактивация этой опции в настройках устройства представляется основной временной мерой защиты, рекомендованной исследователями.
Риск вторжения и потенциальные последствия
Использование уязвимости может привести к серьезным последствиям для владельцев устройств. Злоумышленники могут установить устойчивое вредоносное ПО, украсть конфиденциальную информацию, такую как пароли, банковские реквизиты и сообщения, или даже нанести непоправимый вред операционной системе. В крайних случаях устройство может прийти в негодность после выполнения вредоносных команд.
Исследователи определили, что уязвимость сохраняется в версиях HyperOS 1, 2 и 3. Подвержены воздействию как более старые, так и более поздние модели, что расширяет масштаб проблемы до миллионов пользователей по всему миру. Отсутствие предварительного рутирования делает угрозу особенно тревожной по сравнению с другими подобными недостатками.
Устройства, затронутые взломом
Список затронутой техники включает в себя широкий спектр популярных линеек. Среди упомянутых моделей — Xiaomi 11T, Redmi Note 10 Pro, POCO F4 GT и несколько других из серии Redmi Note, а также более поздние выпуски под управлением HyperOS. Ассортимент превышает 160 вариантов, от начального уровня до высшего.
- Сяоми 11Т и 11Т Про
- Редми Примечание 10 серии
- POCO серии F и серии X
- Различные модели Redmi и Xiaomi, выпущенные в последние годы
Xiaomi работает над полным определением списка, чтобы предоставить рекомендации для конкретной модели. Пользователям следует регулярно проверять наличие обновлений системы, чтобы применять исправления после их выпуска.
Немедленные защитные меры
Основная рекомендация — как можно скорее отключить отладку по USB. Пользователи переходят в «Настройки» > «Дополнительные настройки» > «Параметры разработчика», снимают флажок с параметра «Отладка по USB» и отзывают предыдущие разрешения на отладку. Данное действие блокирует основной вектор атаки без ущерба для повседневной функциональности устройства.
Поддержание системы в актуальном состоянии представляет собой еще одну важную защиту. Компания готовит патч безопасности к марту 2026 года, который должен окончательно исправить недоработку. До выхода обновления отказ от подключения устройства к неизвестным компьютерам или выполнения команд ADB из ненадежных источников снижает риски.
Контекст уязвимости в HyperOS
HyperOS заменила MIUI на нескольких рынках и улучшила производительность и интеграцию между устройствами. Несмотря на достигнутые успехи, переход выявил проблемные моменты в устаревших диагностических службах, которые облегчают внутреннее тестирование, но создают лазейки, когда они не защищены должным образом. Эксперты отмечают, что подобные недостатки возникают в пользовательских системах Android из-за сложности дополнительных слоев.
HyperOS 3 распространяется почти на 100% подходящих устройств, за исключением единичных случаев, таких как Xiaomi 13T. Это означает, что большинство пользователей уже работают с уязвимой версией, что повышает срочность исправления. Xiaomi поддерживает официальные каналы для выпуска обновлений и предупреждений безопасности.
Руководство пользователя и дальнейшие действия
Владельцам затронутых устройств следует следить за уведомлениями об обновлениях программного обеспечения. Установка патча, как только он станет доступен, навсегда устраняет уязвимость. Между тем, базовые меры безопасности, такие как предотвращение загрузки неизвестных приложений и использование надежного антивируса, дополняют эти меры.
Компания подчеркивает, что пока нет никаких свидетельств массового использования уязвимости. Однако публичное раскрытие уязвимости требует повышенной осторожности со стороны пользователей. Исследователи продолжают анализировать варианты взлома, чтобы убедиться, что патч покрывает все возможности.
Обновления и ответ от производителя
Xiaomi подтвердила получение отчета об уязвимости и в ускоренном темпе работает над выпуском исправления. В бюллетенях по безопасности должны быть подробно описаны точные модели и этапы проверки после обновления. Пользователи в регионах с официальной поддержкой получают обновления по ОТА постепенно.
Быстрый ответ производителя демонстрирует приверженность безопасности пользователей. Подобные случаи в прошлом приводили к гибким обновлениям, и в этой ситуации ожидается аналогичная картина. Сообщество пользователей внимательно следит за новостями о патче по официальным каналам.
Уязвимость в HyperOS подчеркивает важность использования настроек разработчика только при необходимости. Отключение таких опций, как отладка по USB, после использования предотвращает ненужное воздействие на мобильные системы. Пользователям, которые не используют инструменты разработки, эта функция редко требуется.
