גוגל משחררת תיקון דחוף לאנדרואיד עם שני פגמים של יום אפס מנוצלים בהתקפות

גוגל משחררת עדכון אבטחה לאנדרואיד שמתקן שתי נקודות תורפה של יום אפס שכבר נוצלו בהתקפות מוגבלות. הצעד, שהוכרז ב-1 בדצמבר 2025, משפיע על מסגרת המערכת ודורש יישום מיידי על ידי כל המשתמשים. העלון כולל יותר מ-100 תיקונים, המתעדפים מכשירים עם גרסאות אנדרואיד 13 עד 16. יצרני מסופים מקבלים קוד מקור תוך 48 שעות להפצה.

פגמים אלו, המזוהים כ-CVE-2025-48633 ו-CVE-2025-48572, מאפשרים חשיפה של מידע רגיש והסלמה של הרשאות ללא הרשאות נוספות. התקפות מתרחשות מרחוק וממוקדות, אולי מקושרות לתוכנות ריגול מתקדמות. משתמשי Pixel מקבלים תחילה את התיקון, בעוד יצרני OEM אחרים עוקבים אחר לוח זמנים משתנה.

פרטים על פגיעויות מנוצלות

CVE-2025-48633 מהווה סיכון לחשיפת נתונים במסגרת, ומשפיע על גרסאות עדכניות של אנדרואיד. פגם זה מאפשר לתוקפים לגשת לתוכן מוגן ללא אינטראקציה של המשתמש. דוחות מציינים שימוש בקמפיינים ספציפיים מול יעדים נבחרים.

CVE-2025-48572 מאפשר גישה מוגברת, ומאפשר שליטה רבה יותר על המכשיר לאחר הפרצה הראשונית. שניהם מקבלים דירוג חומרה גבוה, עם ציון CVSS של כ-7.4 עבור השני. גוגל מאשרת סימנים של ניצול אקטיבי, אך נמנעת מפרטים כדי לא לסייע לפושעים.

היצרנים חייבים לשלב תיקונים ברמות התיקון 2025-12-01 ו-2025-12-05. התקנים משודרגים לרמות אלו מבטלים סיכונים נלווים.

היקף עדכון חודשי

עלון דצמבר 2025 מתקן 107 פגמים בסך הכל, מחולקים בין רכיבים כמו מסגרת, מערכת וקרנל. ביניהם, 37 משפיעים על המסגרת, כולל CVE-2025-48631 קריטי שגורם למניעת שירות מרחוק. עוד 14 נוגעים במערכת, תוך התמקדות באימות קלט לא הולם.

תיקוני ליבה בסך הכל תשעה פריטים, ארבעה מהם קריטיים ברכיבי משנה כמו Pkvm ו-UOMMU. עדכונים מצדדים שלישיים כגון Qualcomm ו-MediaTek נותנים מענה לפגמים בנהגים. גל זה מייצג את המספר השני בגודלו של תיקונים בשנה, בהתאם למדיניות הרבעונית של גוגל.

מכשירים עם שירותי Google Mobile מפעילים הגנות נוספות באמצעות Play Protect, אשר סורק אפליקציות ממקורות חיצוניים.

השפעה על מכשירי Pixel

Pixel מקבל את העדכון ישירות דרך OTA, עם השקה ראשונית ב-1 בדצמבר 2025. גרסאות אנדרואיד 13 עד 16 משלבות את כל התיקונים בתיקון 2025-12-05. משתמשים בודקים את המצב בהגדרות > מידע על הטלפון > עדכוני אבטחה.

• תיקוני מסגרת מבטלים סיכוני DoS מרוחקים.
• תיקוני גרעין מחזקים את בידוד התהליך.
• שיפורים פונקציונליים פותרים חוסר יציבות שדווחו בבנייה קודמת.

תמונות קושחה זמינות באתר המפתחים של Google עבור בנייה מותאמות אישית. כל הדגמים הנתמכים, מ-Pixel 6 ואילך, מקבלים את הגרסה נטולת השהיה.

הפצה ליצרנים אחרים

סמסונג מתחילה את השקת ה-Galaxy A34 5G, אך ההרחבה לכל הקו נמשכת עד חודש. יצרניות OEM אחרות, כמו מוטורולה ונוקיה, עוקבות אחר לוח הזמנים הרבעוני של גוגל, ומתעדפות את הרבעון הרביעי של 2025. CISA מוסיפה CVEs לקטלוג KEV תוך 48 שעות, ומאלצת את הסוכנויות הפדרליות לעדכן.

• יצרני OEM ניגשים לקוד המקור דרך מאגרים פרטיים.
• עדכוני OTA משתנים לפי אזור וספק.
• מכשירים מדור קודם עשויים לדרוש טעינה ידנית.

מומלץ להימנע מאפליקציות ממקורות לא רשמיים עד ליישום מלא.

אמצעי מניעה חיוניים

אפשר עדכונים אוטומטיים בכל מכשירי האנדרואיד כדי לקבל תיקונים ללא דיחוי. Google Play Protect עוקב אחר איומים בזמן אמת, חוסם הורדות חשודות. הימנע מלחיצה על קישורים לא ידועים, הנפוצים בדיוג המנצלים פגמים דומים.

כדי לבדוק, עבור להגדרות וחפש “רמת תיקון אבטחה”. אם תוארך לפני דצמבר 2025, כפה חיפוש ידני. מכשירים ללא תמיכה רשמית עומדים בפני סיכונים גדולים יותר וראויים להערכה להחלפה.

• עדכן את המערכת והאפליקציות דרך חנות Play.
• השתמש ב-VPN אמין ברשתות ציבוריות.
• בצע גיבויים קבועים של נתונים רגישים.

פרקטיקות אלה מפחיתות את החשיפה לניצולים ממוקדים הנפוצים בתרחישי ריגול.

התפתחות מדיניות האבטחה

גוגל מאמצת מודל רבעוני לעדכונים מקיפים, ומקל על חודשי ביניים. דצמבר 2025 מסמן את שיא התיקונים, עם התמקדות באפס ימים. אסטרטגיה זו מאזנת מהירות ויציבות, ומבטיחה ש-90% מהמכשירים הפעילים יתוקנו תוך 90 יום.

רכיבי ליבה וצד שלישי מקבלים תשומת לב נוספת, עם ארבעה תיקונים קריטיים בקוואלקום. MediaTek מפרסמת עלונים מקבילים עבור שבבים משולבים. התהליך משקף למידה מתקריות קודמות, כגון מעללים בספטמבר 2025.

משתמשים ארגוניים משלבים MDM להפצה מאולצת, ומצמצמים את חלונות הפגיעות.

גרסאות מושפעות ותאימות

תקלות משפיעות על אנדרואיד 13, 14, 15 ו-16, ומכסות את רוב המכשירים בשימוש. גרסאות קודמות, כמו 12, בורחות אך חסרות תמיכה כללית. עדכון ל-2025-12-05 פותר את כל 107 הבעיות, כולל בעיות הליבה שנחשפו ב-5 בדצמבר.

• אנדרואיד 13: תיקוני מסגרת ומערכת.
• אנדרואיד 14: תיקוני מנהלי התקנים נוספים.
• אנדרואיד 15/16: אינטגרציה מלאה עם עדכוני מערכת Play.

היצרנים בודקים תאימות לפני ההשקה, נמנעים רגרסיות פונקציונליות.