Błąd w Android Framework (CVE-2025-48572) pozwala zwykłej aplikacji obejść blokadę ekranów z tła i zdobyć wyższe uprawnienia. Google i CISA potwierdzają ataki. Zaktualizuj telefony do poziomu poprawek 2025-12-01.
Ten alert jest dla zarządu, CTO i CFO firm, w których pracownicy używają służbowych lub prywatnych telefonów z Androidem do poczty, zatwierdzania płatności i firmowych aplikacji. Werdykt: jeśli telefon z Androidem 13, 14, 15 lub 16 ma poziom poprawek zabezpieczeń starszy niż 2025-12-01, zaktualizuj go w tym tygodniu, a urządzenia bez aktualizacji odetnij od firmowych danych, bo CISA potwierdza ataki.
Amerykańska agencja CISA 2 grudnia 2025 roku dopisała podatność CVE-2025-48572 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Błąd siedzi w Android Framework, warstwie systemu pośredniczącej między aplikacjami a telefonem. Pozwala zwykłej aplikacji obejść sprawdzenie uprawnień i uruchamiać ekrany z tła, co prowadzi do przejęcia wyższych uprawnień w systemie, bez klikania czegokolwiek przez użytkownika.
Google w biuletynie z grudnia 2025 roku napisał, że są oznaki ograniczonego, celowanego wykorzystania tej luki (razem z CVE-2025-48633). Termin CISA minął 23 grudnia 2025 roku. Poprawka istnieje, ale trafia do telefonów tylko wtedy, gdy producent urządzenia ją dostarczy.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-48572 (w europejskiej bazie ENISA: EUVD-2025-201776) |
Data dodania do CISA KEV | 2025-12-02 |
Termin naprawy wg CISA | 2025-12-23 (21 dni od wpisu) |
Produkt | Google Android, komponent Framework |
Wersje zagrożone | Android 13, 14, 15 i 16 bez poziomu poprawek zabezpieczeń 2025-12-01 |
Wersje bezpieczne | Poziom poprawek zabezpieczeń 2025-12-01 lub nowszy (pełny zestaw poprawek z biuletynu: 2025-12-05). Na telefonach różnych producentów aktualizacja pojawia się w różnym czasie |
Typ podatności | Obejście sprawdzenia uprawnień przy uruchamianiu ekranów z tła, lokalne podniesienie uprawnień. Google: waga wysoka. CISA w NVD: CWE-306 (brak uwierzytelnienia dla funkcji krytycznej), w KEV pole CWE puste |
Ocena CVSS | CISA (w NVD): 7.8 (CVSS 3.1, WYSOKA), wektor AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H. Atak lokalny (wymaga aplikacji na telefonie z niskimi uprawnieniami), bez udziału użytkownika, pełny wpływ. NVD nie wystawił własnej oceny |
Klasyfikacja CWE-306 słabo pasuje do opisu Google: sprawdzenie uprawnień istniało i dało się je obejść. Wiążący jest opis producenta, a etykieta CWE jest pomocnicza.
Wyobraź sobie bank, w którym okienko kasowe może obsługiwać tylko kasjer siedzący przy nim. Ktoś z zaplecza, bez prawa do obsługi klientów, znajduje sposób, by w chwili, gdy klient podchodzi do okienka, podsunąć mu własny formularz przelewu, wyglądający identycznie jak bankowy. Klient podpisuje, bo wszystko wygląda tak jak zawsze i pojawia się dokładnie wtedy, kiedy powinno.
Android pilnuje, żeby aplikacja działająca w tle nie mogła sama otworzyć ekranu. Bez tej zasady program pobrany jako „skaner kodów” mógłby czekać, aż użytkownik otworzy aplikację bankową, i podstawić własny ekran logowania. Luka pozwala obejść tę ochronę w wielu miejscach systemu, a w efekcie zdobyć wyższe uprawnienia. Wystarczy, że na telefonie działa niepozorna aplikacja.
💡 Android Framework to warstwa systemu, z której korzystają wszystkie aplikacje. Podniesienie uprawnień (privilege escalation) oznacza, że program zdobywa więcej praw, niż mu przyznano. Poziom poprawek zabezpieczeń to data widoczna w ustawieniach telefonu, która mówi, do którego biuletynu Google urządzenie jest załatane. MDM to system do zarządzania firmowymi telefonami. KEV to katalog CISA z lukami potwierdzonymi jako wykorzystywane w atakach.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Aplikacja w tle chce otworzyć ekran | System blokuje | Aplikacja może obejść blokadę |
Pracownik otwiera aplikację bankową | Widzi prawdziwy ekran banku | Może zobaczyć podstawiony ekran logowania lub zatwierdzenia |
Aplikacja „kalkulator” bez uprawnień | Nic nie może zrobić poza swoim oknem | Może zdobyć wyższe uprawnienia w systemie |
Szkolenie „uważaj na podejrzane ekrany” | Pomaga | Nie pomaga, bo ekran wygląda jak prawdziwy |
Telefon z poprawkami z listopada 2025 | Uważany za aktualny | Nadal podatny |
źródło: freepikPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Luka jest lokalna: nikt nie zaatakuje telefonu przez samo skanowanie internetu. Najpierw na urządzeniu musi się znaleźć aplikacja napastnika. CISA ocenia, że ataku nie da się zautomatyzować, a Google opisuje wykorzystanie jako ograniczone i celowane.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Wybór celu | T+0 | Wybór osoby lub firmy (np. osoby zatwierdzającej płatności) | Cel ataku |
2. Instalacja aplikacji | T+dni | Nakłonienie do instalacji niepozornej aplikacji (link, fałszywa aktualizacja, sklep z aplikacjami spoza Google Play) | Aplikacja o niskich uprawnieniach na telefonie |
3. Oczekiwanie w tle | T+godziny do dni | Aplikacja czeka, bez żadnych widocznych objawów | Brak sygnałów dla użytkownika |
4. Obejście ochrony | T+sekundy | Uruchomienie ekranu z tła mimo blokady, bez udziału użytkownika | Wyższe uprawnienia w systemie |
5. Przejęcie danych | T+minuty | Podstawienie ekranów logowania, przechwycenie kodów, dostęp do danych innych aplikacji | Hasła, kody, dane firmowe |
6. Wykorzystanie | T+godziny do dni | Logowanie do poczty i bankowości, zatwierdzanie przelewów | Straty finansowe, wyciek danych |
Mogę Ci jakoś pomóc?
Telefon to dziś klucz do poczty, bankowości, systemów w chmurze i kodów logowania dwuskładnikowego. Luka zamienia pozornie nieszkodliwą aplikację w narzędzie do przejęcia tych dostępów. Szczególne ryzyko dotyczy urządzeń, które nie dostają już aktualizacji od producenta: tam poprawki nie będzie nigdy.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Blokada kont, reset urządzeń, wymiana telefonów bez aktualizacji | Dni | 10 tys. do 100 tys. PLN (wymiana urządzeń, praca IT) |
Bezpieczeństwo danych | Przejęcie poczty, kodów logowania i danych z aplikacji firmowych | Godziny od aktywacji | 20 tys. do 150 tys. PLN (analiza incydentu) |
Finansowy | Nieautoryzowane przelewy zatwierdzone na podstawionym ekranie | Minuty do dni | 20 tys. do 500 tys. PLN (zależnie od limitów przelewów) |
Reputacyjny | Oszukańcze wiadomości do klientów z przejętych kont | Tygodnie | 20 tys. do 200 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin, jeśli dotyczy danych osobowych; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 10 tys. do 80 tys. PLN (prawnicy, obsługa zgłoszeń), bez ewentualnej kary |
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy z telefonami Android 13 do 16
bez poprawek z grudnia 2025
Wpływ
5 | . . . . .
4 | . . ■ . . ← WYSOKIE
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ jest wysoki (pełne przejęcie danych na telefonie z dostępem do finansów i poczty), a prawdopodobieństwo średnie, bo atak jest celowany, wymaga wcześniejszej instalacji aplikacji i nie da się go zautomatyzować; rośnie w firmach, które pozwalają instalować aplikacje spoza sklepu Google Play.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Spisać telefony z Androidem mające dostęp do poczty, bankowości i systemów firmy, z wersją Androida i poziomem poprawek zabezpieczeń | Dziś | Dział IT |
2 | 🔴 NATYCHMIAST | Zainstalować aktualizacje na telefonach osób zatwierdzających płatności i zarządu, aż do poziomu 2025-12-01 lub nowszego | Do 2 dni | Dział IT / pracownicy |
3 | 🟠 PILNIE | Zaktualizować pozostałe urządzenia; w systemie MDM ustawić minimalny poziom poprawek jako warunek dostępu do firmowych danych | Do 7 dni | Dział IT |
4 | 🟠 PILNIE | Zablokować instalację aplikacji spoza Google Play na telefonach z dostępem do firmowych danych | Do 7 dni | Dział IT |
5 | 🟠 PILNIE | Przejrzeć zainstalowane aplikacje na telefonach finansów i zarządu, usunąć nieznane | Do 7 dni | Dział IT |
6 | 🟡 WAŻNIE | Zaplanować wymianę telefonów, które nie dostają już aktualizacji bezpieczeństwa | Do 30 dni | CTO / CFO |
7 | 🟡 WAŻNIE | Wprowadzić limity i dodatkowe potwierdzenie dla przelewów zatwierdzanych z telefonu | Do 30 dni | CFO |
Google wydał poprawkę w biuletynie z 1 grudnia 2025 roku i nie podaje obejścia ani ustawienia, które zamykałoby lukę. CISA wskazuje tylko dwie drogi: poprawki producenta albo zaprzestanie używania produktu. Jeśli producent telefonu nie dostarczył aktualizacji, pozostają miary ograniczające ryzyko; oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Odcięcie telefonów bez poprawki od firmowej poczty i systemów (warunek dostępu w MDM) | Wysoka dla danych firmowych | Średnia |
Blokada instalacji aplikacji spoza Google Play, włączony Google Play Protect | Średnia: ogranicza główną drogę wejścia | Łatwa w MDM |
Zatwierdzanie przelewów tylko na urządzeniu z aktualnym systemem | Wysoka dla ryzyka finansowego | Łatwa organizacyjnie |
Wymiana urządzenia na model z aktualnym wsparciem | Wysoka i docelowa | Średnia: wymaga budżetu |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Poziom poprawek telefonów | Nieznany | Spisany, 2025-12-01 lub nowszy na urządzeniach z dostępem do danych |
Instalacja aplikacji | Z dowolnego źródła | Tylko z Google Play lub listy zatwierdzonej przez IT |
Telefony bez wsparcia | Pracują z pełnym dostępem | Odcięte od danych firmy lub wymienione |
Zatwierdzanie przelewów | Z dowolnego telefonu | Z aktualnego urządzenia, z limitami |
Zgodność z wymogami | Prawie 9 miesięcy po terminie CISA (wiąże agencje USA, ale jest dobrym punktem odniesienia) | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). Google: oznaki ograniczonego, celowanego wykorzystania |
Grupy przestępcze | Brak publicznych informacji o nazwach grup |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 7.8 WYSOKA wg CISA w NVD (CVSS 3.1); Google: waga wysoka |
PoC dostępny publicznie? | Brak publicznych informacji |
Liczba atakowanych firm | Brak publicznych informacji |
Automatyzacja ataku | Nie (ocena CISA): wymaga aplikacji na urządzeniu |
Powiązana luka | CVE-2025-48633, wymieniona przez Google w tym samym biuletynie jako wykorzystywana |
Prognoza EPSS | ok. 0,25%, dolna piąta część wszystkich podatności (wg analizy źródłowej) |
Niski EPSS wynika z tego, że luki nie da się wykorzystać przez skanowanie sieci, a nie z tego, że ataków nie ma:
Mogę Ci jakoś pomóc?
Sygnały zagrożenia dla CVE-2025-48572
CVSS 3.1 (CISA) 7.8/10 ████████████████░░░░ WYSOKA
EPSS (prawdopodob.) ~0,25% ░░░░░░░░░░░░░░░░░░░░ NISKA
CISA KEV TAK ████████████████████ ataki potwierdzone
Google TAK ██████████░░░░░░░░░░ ograniczone, celowane
Automatyzacja (CISA) NIE ░░░░░░░░░░░░░░░░░░░░ wymaga aplikacji 2025-12-01 Google publikuje biuletyn bezpieczeństwa Androida z poprawką
2025-12-02 CISA dodaje lukę do katalogu KEV
2025-12-08 Publikacja CVE-2025-48572 w NVD (6 dni po wpisie do KEV)
2025-12-23 Termin naprawy wg CISA dla agencji federalnych
2026-03-06 Ostatnia aktualizacja biuletynu Google
... prawie 9 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Biuletyn bezpieczeństwa Androida: source.android.com: Android Security Bulletin, grudzień 2025 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-48572 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Poprosić dział IT o listę telefonów z Androidem z dostępem do firmowych danych i ich poziomem poprawek | CTO | DZISIAJ |
2 | Polecić osobom zatwierdzającym płatności sprawdzenie i aktualizację telefonu | CFO | DZISIAJ |
3 | Zatwierdzić blokadę instalacji aplikacji spoza Google Play na urządzeniach firmowych | CTO | DO JUTRA |
4 | Zatwierdzić regułę w MDM: brak dostępu do poczty bez aktualnych poprawek | CTO | DO JUTRA |
5 | Oszacować koszt wymiany telefonów bez wsparcia producenta | CFO | DO JUTRA |
6 | Sprawdzić limity przelewów zatwierdzanych z urządzeń mobilnych | CFO | DO JUTRA |
7 | Ustalić zasady dla prywatnych telefonów pracowników z dostępem do firmowej poczty | CTO | DO JUTRA |
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Ile telefonów z Androidem 13 do 16 ma dostęp do firmowej poczty lub bankowości? | [liczba] | 🔴 |
2 | Jaki najstarszy poziom poprawek zabezpieczeń mamy na tych telefonach? | [data] | 🔴 |
3 | Czy telefony osób zatwierdzających płatności mają poziom 2025-12-01 lub nowszy? | TAK / NIE | 🔴 |
4 | Czy korzystamy z systemu MDM, który może wymusić minimalny poziom poprawek? | TAK / NIE | 🟠 |
5 | Czy pracownicy mogą instalować aplikacje spoza Google Play? | TAK / NIE | 🟠 |
6 | Ile telefonów nie dostaje już aktualizacji od producenta? | [liczba] | 🟠 |
7 | Kiedy ostatnio przeglądano aplikacje zainstalowane na telefonach zarządu i finansów? | [data] | 🟡 |
CVE-2025-48572 pozwala zwykłej aplikacji na Androidzie obejść ochronę przed uruchamianiem ekranów z tła i zdobyć wyższe uprawnienia, a Google i CISA potwierdzają celowane ataki. Aktualizacja do poziomu poprawek 2025-12-01, blokada aplikacji spoza sklepu i odcięcie telefonów bez wsparcia od firmowych danych to zadania na ten tydzień, zaczynając od osób zatwierdzających płatności.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
CISA potwierdza wykorzystanie krytycznej luki w bibliotece Ajax.NET Professional, która pozwala przejąć serwer bez logowania. Znajdź stare aplikacje ASP.NET z AjaxPro, odetnij je od internetu i zaktualizuj.
Czytaj artykułLuka o ocenie 10.0 w konsoli Cisco Secure Firewall Management Center pozwala ominąć logowanie i przejąć urządzenie. Cisco i CISA potwierdzają ataki. Zaktualizuj FMC i sprawdź ślady włamania.
Czytaj artykułBłąd w bibliotece Starlette, podstawie FastAPI, pozwala omijać zabezpieczenia części aplikacji, a w łańcuchu z luką LiteLLM przejąć bramkę AI. CISA potwierdza ataki. Zaktualizuj do 1.0.1 lub nowszej.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.