Błąd wyścigu w jądrze Linuksa obecny od 2010 roku pozwala podnieść uprawnienia na urządzeniu. Google odnotował ukierunkowane ataki na Androida. Sprawdź, czy telefony mają poziom zabezpieczeń 2025-09-05, i zaktualizuj jądro na serwerach.
Ten alert jest dla zarządu, CTO i CFO firm, które używają telefonów służbowych z Androidem oraz serwerów z Linuksem. Werdykt: jeśli telefon ma poziom zabezpieczeń starszy niż 2025-09-05 albo serwer ma jądro bez poprawki z czerwca 2025 roku, zaktualizuj urządzenia w tym tygodniu, a telefony zarządu i osób z wrażliwymi danymi dziś, bo Google odnotował ukierunkowane ataki z użyciem tej luki.
Amerykańska agencja CISA 4 września 2025 roku dopisała podatność CVE-2025-38352 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Błąd dotyczy jądra Linuksa, w części obsługującej zegary procesów (posix-cpu-timers). Jest w kodzie od wersji 2.6.36 z 2010 roku. To samo jądro działa w serwerach z Linuksem i w każdym telefonie z Androidem.
Google w biuletynie bezpieczeństwa Androida z września 2025 roku oznaczył lukę jako podniesienie uprawnień o wadze wysokiej i napisał, że są przesłanki jej „ograniczonego, ukierunkowanego wykorzystania”. Błąd zgłosił Benoit Sevens z Google, a poprawkę napisał Oleg Nesterov. Termin naprawy wyznaczony przez CISA minął 25 września 2025 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-38352 |
Data dodania do CISA KEV | 2025-09-04 |
Termin naprawy wg CISA | 2025-09-25 |
Produkt | Jądro Linuksa (posix-cpu-timers) oraz produkty na nim zbudowane, w tym Android |
Wersje zagrożone | Jądra od 2.6.36 do wersji przed: 5.4.295, 5.10.239, 5.15.186, 6.1.142, 6.6.94, 6.12.34, 6.15.3 oraz 6.16-rc1. Android z poziomem zabezpieczeń starszym niż 2025-09-05. Jądra budowane z opcją CONFIG_POSIX_CPU_TIMERS_TASK_WORK=y nie są podatne, ale użytkownik zwykle tego nie sprawdzi |
Wersje bezpieczne | Jądra 5.4.295, 5.10.239, 5.15.186, 6.1.142, 6.6.94, 6.12.34, 6.15.3 i nowsze. Ubuntu: 6.8.0-87.88 (24.04), 5.15.0-156.166 (22.04), 5.4.0-223.243 (20.04). Debian bookworm: 6.1.147-1. Red Hat Enterprise Linux 8, 9 i 10: aktualizacje z września 2025 (RHEL 6 niepodatny). Android: poziom zabezpieczeń 2025-09-05 lub nowszy |
Typ podatności | Warunek wyścigu między sprawdzeniem a użyciem (TOCTOU); CWE-367 |
Ocena CVSS | Zespół jądra Linuksa: 7.8 (CVSS 3.1, WYSOKA, atak lokalny, niskie uprawnienia, niska złożoność). CISA (analitycy ADP): 7.4 (CVSS 3.1, WYSOKA, bez uprawnień, ale wysoka złożoność). Red Hat: waga „Important” |
Wyobraź sobie kuchnię restauracji, w której nad blatem wiszą bloczki z zamówieniami. Kucharz sprawdza, że zamówienie ze stolika 5 jest aktualne, i sięga po składniki. W tej samej sekundzie kelner zdejmuje bloczek i wyrzuca go, bo gość się rozmyślił. Kucharz przygotowuje danie według kartki, której już nie ma, i wynosi je do pustego stolika. W kuchni to strata jednego talerza. W jądrze systemu to sięgnięcie do pamięci, która właśnie zmieniła przeznaczenie.
Tak działa ten błąd: gdy proces kończy pracę, jądro sprząta jego zegary, a równolegle inna część jądra może ten sam zegar usuwać. Między sprawdzeniem a użyciem mija ułamek sekundy, w którym stan się zmienia. Napastnik, który trafi w ten moment, może wywołać awarię systemu albo podnieść swoje uprawnienia, czyli wyjść z przegrody, w której działa zwykła aplikacja, i sięgnąć po cudze dane.
💡 Warunek wyścigu (race condition) to błąd, w którym wynik zależy od tego, która z dwóch równoległych czynności wykona się pierwsza. TOCTOU (time-of-check to time-of-use) to jego odmiana: coś zmienia się między sprawdzeniem a użyciem. Poziom zabezpieczeń Androida to data w ustawieniach telefonu, która mówi, jakie poprawki Google są zainstalowane. Atak ukierunkowany to atak na wybrane osoby, a nie masowy.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Aplikacja na telefonie | Widzi tylko własne dane | Po wykorzystaniu luki może sięgnąć po dane innych aplikacji |
Użytkownik bez uprawnień na serwerze | Nie zmieni konfiguracji systemu | Może zdobyć wyższe uprawnienia |
Zakończenie procesu | Zegary są sprzątane bezpiecznie | W określonym momencie jądro sięga do nieaktualnej struktury |
Stabilność systemu | Normalna | Możliwa awaria jądra |
Telefon służbowy bez aktualizacji | „Działa, więc jest w porządku” | Otwarty na ukierunkowany atak |
źródło: Pexels, Betül ÜstünPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu, bo Google nie ujawnił szczegółów ataków. Luka jest lokalna: napastnik musi najpierw uruchomić kod na urządzeniu, na przykład przez złośliwą aplikację lub inną lukę. Trafienie w odpowiedni moment wymaga precyzji, więc nie nadaje się do masowego skanowania internetu.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Wybór celu | T-tygodnie | Wytypowanie osób z cennymi informacjami | Lista ofiar |
2. Pierwszy krok | T+0 min | Dostarczenie złośliwej aplikacji lub użycie luki w przeglądarce lub komunikatorze | Kod napastnika działa jako zwykła aplikacja |
3. Wyścig | T+sekundy do minut | Wielokrotne próby trafienia w moment sprzątania zegarów | Uszkodzenie pamięci jądra |
4. Eskalacja | T+minuty | Przejęcie uprawnień jądra | Pełna kontrola nad urządzeniem |
5. Oprogramowanie szpiegujące | T+minuty do godzin | Instalacja narzędzi do odczytu poczty, komunikatorów, zdjęć | Dostęp do wszystkich danych na telefonie |
6. Obserwacja | T+tygodnie | Ciche wyprowadzanie informacji | Wyciek ustaleń handlowych i korespondencji |
Telefony służbowe są zwykle najsłabiej pilnowanym sprzętem w firmie: nikt nie sprawdza poziomu zabezpieczeń, a urządzenia wymienia się dopiero, gdy padnie bateria. Tymczasem na telefonie jest poczta, komunikatory z ustaleniami i aplikacja bankowa. Luka w jądrze używana w atakach ukierunkowanych trafia właśnie w te osoby, które mają najcenniejsze informacje.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Wymiana lub reset telefonów, aktualizacje i restarty serwerów | Dni | 10 tys. do 80 tys. PLN (sprzęt, praca IT) |
Bezpieczeństwo danych | Odczyt poczty, komunikatorów i dokumentów z telefonu; dostęp root na serwerze | Godziny do tygodni cichej obserwacji | 30 tys. do 300 tys. PLN (analiza śledcza, obsługa incydentu) |
Finansowy | Utracone przetargi i negocjacje, oszustwa na przejętych kanałach komunikacji | Tygodnie do miesięcy | 50 tys. do 1 mln PLN, zależnie od wagi informacji |
Reputacyjny | Klienci dowiadują się, że treść rozmów z nimi wyciekła | Miesiące | 50 tys. do 400 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin, jeśli wyciekną dane osobowe; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 15 tys. do 120 tys. PLN (obsługa prawna, zgłoszenia), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla telefonów z Androidem i serwerów
z jądrem bez poprawki
Wpływ
5 | . . . . .
4 | . ■ . . . ← osoby wrażliwe: WYSOKIE
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ jest wysoki (pełna kontrola nad urządzeniem po udanym ataku), a prawdopodobieństwo niskie dla typowego pracownika (EPSS około 0,013, atak lokalny i trudny w wykonaniu); dla zarządu, handlowców z kluczowymi klientami i działu finansów ryzyko należy traktować jako wysokie, bo ataki są ukierunkowane.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Sprawdzić poziom zabezpieczeń Androida na telefonach zarządu, finansów i handlowców (musi być 2025-09-05 lub nowszy) | Dziś | Administrator IT / użytkownicy |
2 | 🔴 NATYCHMIAST | Zainstalować aktualizacje na tych telefonach i uruchomić je ponownie | Dziś | Użytkownicy z pomocą IT |
3 | 🟠 PILNIE | Sprawdzić wszystkie pozostałe telefony i tablety z Androidem z dostępem do firmowych danych | Do 7 dni | Administrator IT |
4 | 🟠 PILNIE | Zaktualizować jądro na serwerach z Linuksem do wersji z poprawką i zrestartować je | Do 7 dni | Administrator serwerów |
5 | 🟠 PILNIE | Odciąć od poczty służbowej telefony, które nie dostają już aktualizacji | Do 14 dni | Administrator IT |
6 | 🟡 WAŻNIE | Wymusić minimalny poziom zabezpieczeń w systemie zarządzania urządzeniami (MDM) | Do 30 dni | CTO |
7 | 🟡 WAŻNIE | Zaplanować wymianę telefonów bez wsparcia producenta | Do 30 dni (decyzja) | CFO / CTO |
Poprawki są dostępne w jądrze Linuksa, w głównych dystrybucjach i w biuletynie Androida z września 2025 roku. Red Hat stwierdza, że nie istnieje obejście spełniające jego kryteria (proste i niepsujące działania systemu). Poniższe miary tylko ograniczają ryzyko. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Odcięcie telefonów bez poprawki od firmowej poczty i danych | Wysoka dla danych firmy | Średnia: wymaga MDM lub zasad dostępu |
Blokada instalacji aplikacji spoza Google Play na telefonach służbowych | Średnia: utrudnia pierwszy krok ataku | Łatwa przy MDM |
Ograniczenie kont i usług, przez które można uruchomić kod na serwerze | Średnia | Średnia |
Wymiana telefonów, które nie dostaną poprawki | Wysoka | Trudna: koszt sprzętu |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Poziom zabezpieczeń telefonów | Nieznany, część sprzed września 2025 | 2025-09-05 lub nowszy na każdym telefonie z dostępem do danych |
Stare telefony | Z pocztą służbową mimo braku aktualizacji | Odcięte lub wymienione |
Jądro na serwerach | Bez poprawki | Zaktualizowane i uruchomione ponownie |
Aplikacja złośliwa na telefonie | Może zdobyć pełną kontrolę | Zatrzymuje się w swojej przegrodzie |
Nadzór | Brak raportu | Minimalny poziom wymuszany przez MDM |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). Google: przesłanki ograniczonego, ukierunkowanego wykorzystania na Androidzie |
Grupy przestępcze | Brak publicznych informacji |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 7.8 WYSOKA wg zespołu jądra Linuksa (CVSS 3.1); 7.4 WYSOKA wg analityków CISA (CVSS 3.1) |
PoC dostępny publicznie? | Brak publicznych informacji w analizowanych źródłach |
Liczba atakowanych firm | Brak publicznych informacji; charakter ataków wskazuje na wybrane cele |
Obejście | Brak (wg Red Hat), jedyna droga to aktualizacja jądra |
Prognoza EPSS | 0,013 (wg analizy źródłowej): niskie ryzyko ataków masowych |
Niski EPSS i wpis do KEV nie są sprzeczne. EPSS mierzy szansę masowego wykorzystania, a ta luka wymaga dostępu do urządzenia i precyzyjnego trafienia w moment. Wpis do KEV mówi, że ktoś to zrobił wobec wybranych celów. Właściwe pytanie brzmi: czy ktoś miałby powód interesować się akurat naszą firmą.
Sygnały zagrożenia dla CVE-2025-38352
CVSS 3.1 (kernel.org) 7.8/10 ████████████████░░░░ WYSOKA
CVSS 3.1 (CISA) 7.4/10 ███████████████░░░░░ WYSOKA
EPSS 0,013 █░░░░░░░░░░░░░░░░░░░ NISKIE (ataki celowane)
CISA KEV TAK ████████████████████ ataki potwierdzone
Obejście BRAK ░░░░░░░░░░░░░░░░░░░░ tylko aktualizacja 2010 Błąd trafia do jądra Linuksa (2.6.36)
2025-06-19 Poprawka trafia do gałęzi stabilnej jądra
2025-07-22 Publikacja CVE-2025-38352
2025-09-01 Biuletyn Androida: przesłanki ukierunkowanych ataków,
poprawka w poziomie zabezpieczeń 2025-09-05
2025-09-04 CISA dodaje lukę do katalogu KEV
2025-09-25 Termin naprawy wg CISA dla agencji federalnych
2026-09-08 Ostatnia aktualizacja wpisu w NVD
2026-09-17: TUTAJ JESTEŚMY Poprawka w jądrze Linuksa: git.kernel.org, commit 2c72fe18cc5f . Biuletyn bezpieczeństwa Androida z września 2025: source.android.com/docs/security/bulletin/2025-09-01 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-38352 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Sprawdzić poziom zabezpieczeń Androida na własnym telefonie i zaktualizować go | Zarząd | DZISIAJ |
2 | Wskazać osoby, których telefony mają najcenniejsze informacje, i zlecić sprawdzenie ich urządzeń | CTO | DZISIAJ |
3 | Zlecić raport poziomów zabezpieczeń wszystkich telefonów z firmową pocztą | CTO | DZISIAJ |
4 | Zlecić aktualizację jądra na serwerach z Linuksem i zatwierdzić okno na restart | CTO | DO JUTRA |
5 | Zatwierdzić odcięcie od poczty telefonów bez aktualizacji | CTO | DO JUTRA |
6 | Zarezerwować budżet na wymianę telefonów bez wsparcia producenta | CFO | DO JUTRA |
7 | Przy zakupie telefonów wymagać gwarancji aktualizacji przez kilka lat | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Ile telefonów z Androidem ma dostęp do firmowej poczty? | [liczba] | 🔴 |
2 | Jaki jest najstarszy poziom zabezpieczeń Androida w tej grupie? | [data] | 🔴 |
3 | Czy telefony zarządu i finansów mają poziom 2025-09-05 lub nowszy? | TAK / NIE | 🔴 |
4 | Jaka jest najstarsza wersja jądra na naszych serwerach z Linuksem? | [wersja] | 🟠 |
5 | Kiedy serwery zostały zaktualizowane i zrestartowane z nowym jądrem? | [data] | 🟠 |
6 | Ile telefonów nie dostaje już aktualizacji od producenta? | [liczba] | 🟠 |
7 | Czy MDM wymusza minimalny poziom zabezpieczeń jako warunek dostępu do danych? | TAK / NIE | 🟡 |
CVE-2025-38352 to piętnastoletni błąd wyścigu w jądrze Linuksa, który pozwala podnieść uprawnienia na telefonach z Androidem i serwerach, a Google odnotował jego ukierunkowane wykorzystanie. Poprawki są dostępne od czerwca 2025 roku w jądrze i od września 2025 roku w Androidzie, obejścia nie ma, a termin CISA minął 25 września 2025 roku, więc sprawdzenie telefonów kluczowych osób to zadanie na dziś.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Luka o ocenie 10.0 w konsoli Cisco Secure Firewall Management Center pozwala ominąć logowanie i przejąć urządzenie. Cisco i CISA potwierdzają ataki. Zaktualizuj FMC i sprawdź ślady włamania.
Czytaj artykułGoogle i CISA potwierdzają ukierunkowane ataki na lukę w modemie telefonów Pixel, które nie wymagają działania użytkownika. Zaktualizuj telefony do poziomu poprawek 2026-09-05, zaczynając od zarządu.
Czytaj artykułLuka w systemach PLM firmy PTC pozwala bez logowania przejąć serwer. Grupa Cl0p wykorzystuje ją do kradzieży dokumentacji produktów i szantażu. Zainstaluj poprawki i sprawdź ślady włamania.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.