Błąd w sterowniku grafiki Adreno w wielu układach Qualcomm pozwala złośliwej aplikacji wyjść poza swoją izolację i przejąć telefon. Google TAG i CISA potwierdzają ukierunkowane ataki. Sprawdź aktualizacje służbowych urządzeń z Androidem.
Ten alert jest dla zarządu, CTO i CFO firm, w których pracownicy używają służbowych telefonów i tabletów z Androidem na układach Qualcomm Snapdragon. Werdykt: każde takie urządzenie bez aktualizacji zabezpieczeń z połowy 2025 roku lub nowszej zaktualizuj w tym tygodniu, a sprzęt, którego producent już nie wspiera, zaplanuj do wymiany, bo luka w sterowniku grafiki była wykorzystywana w ukierunkowanych atakach.
Amerykańska agencja CISA 3 czerwca 2025 roku dopisała podatność CVE-2025-21480 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Błąd dotyczy mikrowęzła GPU w sterowniku grafiki Adreno w kilkudziesięciu układach Qualcomm. Określona sekwencja poleceń pozwala wykonać nieautoryzowane komendy w układzie graficznym i uszkodzić pamięć, a skutki wychodzą poza sam komponent grafiki.
Tego samego dnia CISA dopisała bliźniaczą lukę CVE-2025-21479 (identyczny opis i ocena) oraz CVE-2025-27038 w sterowniku grafiki używanym przez Chrome. Qualcomm poinformował, że Google Threat Analysis Group ma przesłanki ograniczonego, ukierunkowanego wykorzystania wszystkich trzech, a poprawki przekazał producentom urządzeń w maju 2025 roku. Termin naprawy wg CISA minął 24 czerwca 2025 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-21480 (bliźniacza: CVE-2025-21479) |
Data dodania do CISA KEV | 2025-06-03 |
Termin naprawy wg CISA | 2025-06-24 (21 dni od wpisu) |
Produkt | Qualcomm, wiele układów; sterownik grafiki Adreno (GPU micronode) |
Wersje zagrożone | 76 pozycji w NVD, m.in. Snapdragon 8 Gen 2, 8+ Gen 2, 8 Gen 3, 888 i 888+, 865 i 865+, 870, 855 i 855+/860, 778G i 778G+, 782G, 720G, 695, 690, 685, 680, 662, 480 i 480+, 460, 4 Gen 1, 7c+ Gen 3, AR1 Gen 1, moduły FastConnect 6200 do 7800. Europejska baza wymienia więcej układów |
Wersje bezpieczne | Brak wersji w rejestrach: Qualcomm przekazał poprawki producentom urządzeń w maju 2025 (biuletyn czerwiec 2025). Aktualizację wydaje producent telefonu. Bliźniacze CVE-2025-21479 i CVE-2025-27038 obejmuje poziom poprawek Androida 2025-08-05; dla CVE-2025-21480 status trzeba potwierdzić u producenta urządzenia |
Typ podatności | Nieprawidłowa autoryzacja prowadząca do uszkodzenia pamięci; CWE-863 |
Ocena CVSS | Qualcomm (zapis w NVD): 8.6 (CVSS 3.1, WYSOKA). Atak lokalny, niska złożoność, bez uprawnień, wymagany udział użytkownika, skutki poza komponentem. NVD nie wystawiło własnej oceny |
Wyobraź sobie biurowiec, w którym każdy najemca ma swoje piętro zamknięte na klucz. Wszyscy korzystają jednak z tej samej windy towarowej, bo każdy coś przewozi. Winda przyjmuje polecenia z panelu i nie sprawdza, czy osoba, która je wydaje, ma prawo jechać na dane piętro. Wystarczy wcisnąć przyciski w odpowiedniej kolejności, by winda otworzyła drzwi na cudzym piętrze.
Tak działa ta luka. Na telefonie każda aplikacja ma swoją „zamkniętą przestrzeń” i nie widzi danych innych aplikacji. Układ graficzny jest jednak wspólny, bo każda aplikacja coś wyświetla. Określona sekwencja poleceń wysłanych do sterownika grafiki pozwalała zrobić coś, na co aplikacja nie miała zgody, i sięgnąć poza swoją przestrzeń, na przykład do poczty, komunikatorów czy aplikacji bankowej.
💡 GPU (układ graficzny) to część procesora odpowiedzialna za wyświetlanie obrazu. Adreno to nazwa układów graficznych Qualcomm. Sterownik to oprogramowanie, przez które system i aplikacje korzystają z układu. Izolacja aplikacji (piaskownica) to mechanizm oddzielający aplikacje od siebie. KEV (Known Exploited Vulnerabilities) to katalog CISA z lukami potwierdzonymi jako wykorzystywane w atakach.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Aplikacja wyświetla obraz | Korzysta z grafiki w granicach swoich uprawnień | Może wykonać nieautoryzowane polecenia w GPU |
Zła strona lub aplikacja na telefonie | Zamknięta w swojej izolacji | Może wyjść poza izolację |
Poczta i aplikacja bankowa | Chronione przed innymi aplikacjami | Potencjalnie dostępne dla napastnika |
Poprawka od Qualcomm | Trafia do użytkownika | Trafia najpierw do producenta telefonu, który wydaje ją po swojemu |
Stary telefon bez wsparcia | Działa „wystarczająco dobrze” | Poprawki nie dostanie nigdy |
źródło: Pexels, BOOM PhotographyPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Luka jest lokalna i wymaga działania użytkownika: napastnik musi najpierw uruchomić swój kod na urządzeniu, np. przez podsuniętą aplikację lub spreparowaną treść. CISA ocenia, że ataku nie da się zautomatyzować, a Google TAG mówi o atakach ograniczonych i ukierunkowanych.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Wybór celu | T+0 | Wytypowanie osoby z dostępem do cennych danych | Znany cel i model telefonu |
2. Przyczółek | T+godziny do dni | Podsunięcie aplikacji spoza oficjalnego sklepu, pliku lub linku | Kod napastnika na urządzeniu w ramach izolacji |
3. Wykorzystanie luki | T+minuty | Wysłanie określonej sekwencji poleceń do sterownika GPU | Wyjście poza izolację aplikacji |
4. Utrwalenie | T+minuty do godzin | Zdobycie wyższych uprawnień i ukrycie narzędzia | Stały dostęp do telefonu |
5. Zbieranie danych | T+dni do tygodni | Odczyt wiadomości, poczty, kontaktów, lokalizacji | Wgląd w pracę osoby i firmy |
6. Wykorzystanie | T+tygodnie | Dostęp do systemów firmy, oszustwa, szpiegostwo | Wyciek danych, straty |
Telefon służbowy daje dostęp do poczty, komunikatorów, kodów jednorazowych i dokumentów. Firma nie może sama załatać układu Qualcomm ani zastosować obejścia, może jednak kontrolować, co jest zainstalowane na telefonach, i pilnować daty poprawek bezpieczeństwa.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Reset dostępów, wymiana urządzeń bez wsparcia, przerwa w pracy mobilnej | Dni | 10 tys. do 100 tys. PLN (sprzęt, prace IT) |
Bezpieczeństwo danych | Wyciek poczty, wiadomości, dokumentów, danych klientów | Dni do tygodni | 20 tys. do 200 tys. PLN (analiza incydentu, reset dostępów) |
Finansowy | Oszustwa z użyciem przejętych kont, utracone kontrakty | Tygodnie | 30 tys. do 400 tys. PLN łącznie |
Reputacyjny | Utrata zaufania klientów i partnerów | Miesiące | 20 tys. do 250 tys. PLN (utracone zlecenia) |
Prawny | Przy wycieku danych osobowych zgłoszenie do UODO w 72 godziny; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 10 tys. do 100 tys. PLN (prawnicy, obsługa zgłoszeń), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy z telefonami na układach Qualcomm
bez aktualizacji z 2025 roku
Wpływ
5 | . . . . .
4 | . ■ . . . ← ŚREDNIE
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ jest wysoki (wyjście poza izolację i dostęp do danych na telefonie), ale prawdopodobieństwo dla typowej firmy jest niskie, bo atak jest lokalny, ukierunkowany, wymaga działania użytkownika, a EPSS wynosi poniżej 0,5%; dla zarządu i osób z dostępem do wrażliwych danych przesuń znacznik w prawo.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Spisać służbowe telefony i tablety z Androidem: model, układ, poziom poprawek zabezpieczeń | Dziś | Administrator IT |
2 | 🟠 PILNIE | Zainstalować dostępne aktualizacje systemu, zaczynając od zarządu i osób z dostępem do finansów; celem jest poziom co najmniej 2025-08-05 lub nowszy od producenta | Do 3 dni | Administrator IT / pracownicy |
3 | 🟠 PILNIE | Dla każdego modelu sprawdzić u producenta, czy aktualizacja obejmuje poprawki Qualcomm z czerwca 2025 i czy urządzenie jest nadal wspierane | Do 7 dni | Administrator IT |
4 | 🟠 PILNIE | Zablokować na telefonach służbowych instalację aplikacji spoza oficjalnego sklepu i ustalić listę aplikacji potrzebnych do pracy | Do 7 dni | Administrator IT |
5 | 🟠 PILNIE | Ustalić, kto ma pocztę firmową na prywatnym telefonie, i wymagać aktualnego systemu jako warunku dostępu | Do 14 dni | CTO |
6 | 🟡 WAŻNIE | Wdrożyć system zarządzania urządzeniami (MDM) z kontrolą poziomu poprawek | Do 60 dni | CTO |
7 | 🟡 WAŻNIE | Zaplanować wymianę urządzeń bez wsparcia i wpisać do zasad zakupowych deklarowany okres aktualizacji | Do 60 dni | CFO |
Qualcomm przekazał poprawki producentom urządzeń w maju 2025 roku, ale do telefonu trafiają one tylko przez aktualizację producenta. Obejście nie istnieje. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Instalacja aplikacji tylko z oficjalnego sklepu i z listy zatwierdzonej przez firmę | Wysoka: odcina najczęstszy przyczółek | Łatwa przy MDM, średnia bez niego |
Włączony Google Play Protect | Średnia: wykrywa część szkodliwych aplikacji | Łatwa |
Przeniesienie poczty, bankowości i kodów jednorazowych na urządzenie z aktualnymi poprawkami | Wysoka dla najcenniejszych kont | Średnia: koszt zakupu |
Szkolenie: nie instalujemy aplikacji z linków i nie otwieramy plików od nieznanych nadawców | Średnia | Łatwa |
Wymiana urządzeń bez wsparcia producenta | Wysoka, docelowe rozwiązanie | Trudna budżetowo |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Wiedza o urządzeniach | Nieznane modele i daty poprawek | Spis z poziomem poprawek |
Aplikacje na telefonach służbowych | Instalowane z różnych źródeł | Tylko z listy zatwierdzonej |
Aktualizacje | Zależne od pracownika | Kontrolowane i wymuszane |
Prywatne telefony z pocztą firmową | Poza kontrolą | Warunek aktualnego systemu |
Urządzenia bez wsparcia | W użyciu | Na liście wymiany z budżetem |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). Qualcomm: przesłanki od Google Threat Analysis Group o ograniczonym, ukierunkowanym wykorzystaniu |
Grupy przestępcze | Brak publicznych informacji |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 8.6 WYSOKA wg Qualcomm (CVSS 3.1) |
PoC dostępny publicznie? | Brak publicznych informacji |
Liczba atakowanych firm | Brak publicznych informacji; charakter ataków ukierunkowany |
Automatyzacja ataku | CISA: niemożliwa; skutek techniczny całkowity |
Kto zgłosił | Zespół Google Android Security, koniec stycznia 2025 (wg BleepingComputer) |
Prognoza EPSS | Ok. 0,4% szansy próby wykorzystania w 30 dni; bliźniacza CVE-2025-21479 ma prognozę prawie dwa razy wyższą (wg analizy źródłowej) |
Prognoza EPSS opiera się na widoczności luki w świecie zewnętrznym, a nie na analizie kodu, dlatego dwie identyczne luki mają różne liczby. Wpis w KEV to fakt, a nie prognoza, i to on decyduje o priorytecie.
Sygnały zagrożenia dla CVE-2025-21480
CVSS 3.1 (Qualcomm) 8.6/10 █████████████████░░░ WYSOKA
EPSS (próba w 30 dni) ~0,4% ░░░░░░░░░░░░░░░░░░░░ NISKA
CISA KEV TAK ████████████████████ ataki potwierdzone
Google TAG TAK ██████████░░░░░░░░░░ ograniczone, ukierunkowane
Automatyzacja (CISA) NIE ░░░░░░░░░░░░░░░░░░░░ atak ręczny 2025-01 Google Android Security zgłasza błędy do Qualcomm
2025-05 Qualcomm przekazuje poprawki producentom urządzeń
2025-06-02 Qualcomm publikuje biuletyn z czerwca 2025
i informację o ukierunkowanym wykorzystaniu
2025-06-03 Publikacja CVE w NVD, CISA dodaje CVE-2025-21479,
CVE-2025-21480 i CVE-2025-27038 do KEV
2025-06-24 Termin naprawy wg CISA
2025-08 Biuletyn Androida (poziom 2025-08-05) obejmuje
bliźniaczą CVE-2025-21479 i CVE-2025-27038
2026-06-17 Ostatnia aktualizacja wpisu w NVD
2026-09-17: TUTAJ JESTEŚMY Biuletyn Qualcomm z czerwca 2025: docs.qualcomm.com, June 2025 Security Bulletin . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-21480 . CISA zaleca sprawdzanie statusu poprawek u producentów konkretnych urządzeń.
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Zlecić spis służbowych urządzeń z Androidem z poziomem poprawek | CTO | DZISIAJ |
2 | Polecić zarządowi i księgowości natychmiastowe sprawdzenie aktualizacji telefonów | CTO | DZISIAJ |
3 | Zatwierdzić listę aplikacji dozwolonych na telefonach służbowych | CTO | DO JUTRA |
4 | Ustalić zasady dostępu do poczty firmowej z prywatnych telefonów | CTO | DO JUTRA |
5 | Zarezerwować budżet na wymianę urządzeń bez wsparcia i system MDM | CFO | DO JUTRA |
6 | Dopisać do zasad zakupowych minimalny okres wsparcia aktualizacjami | CFO | DO JUTRA |
7 | Sprawdzić zabezpieczenia przelewów w bankowości firmowej (dodatkowa akceptacja) | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Ile służbowych urządzeń z Androidem ma układy Qualcomm Snapdragon? | [liczba] | 🔴 |
2 | Jaki poziom poprawek zabezpieczeń pokazuje każde z nich? | [data] | 🔴 |
3 | Czy producenci naszych modeli potwierdzają poprawki Qualcomm z czerwca 2025? | TAK / NIE, [modele bez potwierdzenia] | 🔴 |
4 | Czy na telefonach służbowych można instalować aplikacje spoza oficjalnego sklepu? | TAK / NIE | 🟠 |
5 | Ilu pracowników ma pocztę firmową na prywatnych telefonach? | [liczba] | 🟠 |
6 | Które urządzenia nie dostają już aktualizacji od producenta? | [lista] | 🟠 |
7 | Czy mamy system MDM i czy raportuje poziom poprawek? | TAK / NIE | 🟡 |
CVE-2025-21480 to błąd w sterowniku grafiki Adreno w wielu układach Qualcomm, który pozwala złośliwemu kodowi wyjść poza izolację aplikacji; Google TAG i CISA potwierdzają ukierunkowane ataki. Poprawkę dostarcza producent telefonu, a obejścia nie ma, więc zadanie na ten tydzień to sprawdzić poziom poprawek na służbowych urządzeniach, zainstalować aktualizacje i ograniczyć instalowanie aplikacji spoza oficjalnego sklepu.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
CISA potwierdza wykorzystanie krytycznej luki w bibliotece Ajax.NET Professional, która pozwala przejąć serwer bez logowania. Znajdź stare aplikacje ASP.NET z AjaxPro, odetnij je od internetu i zaktualizuj.
Czytaj artykułBłąd w NetScaler ADC i Gateway, opisany przez producenta jako awaria, pozwala według badaczy przejąć bramę VPN bez hasła. Publiczny kod istnieje, ataki trwają. Zaktualizuj urządzenia i sprawdź ślady włamania.
Czytaj artykułLuka w N-able N-central pozwala bez logowania uruchomić kod na serwerze, z którego zarządza się komputerami wielu firm. CISA potwierdza ataki. Zaktualizuj do 2026.3.1.14, odetnij konsolę od internetu i sprawdź konta.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.