Błąd w wielu układach Qualcomm pozwala złośliwej aplikacji przejąć telefon lub tablet. Google i CISA potwierdzają ukierunkowane ataki. Sprawdź, czy służbowe urządzenia z Androidem mają poziom poprawek 2026-03-05 lub nowszy.
Ten alert jest dla zarządu, CTO i CFO firm, w których pracownicy używają służbowych telefonów i tabletów z Androidem, a także urządzeń i samochodów z układami Qualcomm. Werdykt: każde urządzenie z Androidem, które w ustawieniach pokazuje poziom poprawek zabezpieczeń starszy niż 2026-03-05, trzeba zaktualizować w tym tygodniu albo wymienić, jeśli producent już go nie wspiera.
Amerykańska agencja CISA 3 marca 2026 roku dopisała podatność CVE-2026-21385 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. To błąd w oprogramowaniu wielu układów Qualcomm: przy przydzielaniu pamięci licznik rozmiaru może się „przekręcić”, a program zapisuje dane poza przydzielonym miejscem. Złośliwa aplikacja już działająca na urządzeniu może w ten sposób przejąć nad nim pełną kontrolę.
Google w marcowym biuletynie bezpieczeństwa Androida odnotował przesłanki ograniczonego, ukierunkowanego wykorzystania tej luki. Kluczowe dla firmy: Qualcomm pisze poprawkę, ale do telefonu dostarcza ją producent urządzenia, więc status trzeba sprawdzać u niego. Termin naprawy wyznaczony przez CISA minął 24 marca 2026 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2026-21385 (w europejskiej bazie EUVD-2026-9202) |
Data dodania do CISA KEV | 2026-03-03 |
Termin naprawy wg CISA | 2026-03-24 (21 dni od wpisu) |
Produkt | Qualcomm, wiele układów (w biuletynie Androida: komponent Qualcomm, podkomponent Display) |
Wersje zagrożone | 235 pozycji sprzętowych w 10 liniach produktów Qualcomm: Auto, CCW, Compute, Connectivity, Consumer IOT, Industrial IOT, Mobile, Voice and Music, WBC, Wearables. Wśród nich m.in. Snapdragon 8 Elite, Snapdragon 8 Gen 1 do Gen 3, Snapdragon 865 5G, QCS8550, SM8750P, FastConnect 7800, platformy motoryzacyjne QAM8255P i QAM8295P |
Wersje bezpieczne | Android: poziom poprawek zabezpieczeń 2026-03-05 lub nowszy. Inne urządzenia (samochody, sprzęt wideokonferencyjny, IoT): aktualizacja firmware od producenta urządzenia, zgodnie z biuletynem Qualcomm z marca 2026 |
Typ podatności | Uszkodzenie pamięci wskutek przepełnienia całkowitoliczbowego; CWE-190 |
Ocena CVSS | Qualcomm (zapis w NVD): 7.8 (CVSS 3.1, WYSOKA). Atak lokalny, niska złożoność, niskie uprawnienia, bez udziału użytkownika, pełny wpływ na poufność, integralność i dostępność. NVD nie wystawiło własnej oceny |
Wyobraź sobie licznik przebiegu w starym samochodzie, który ma tylko sześć cyfr. Po przekroczeniu 999 999 km wraca do zera i auto „wygląda” na nowe. Układ Qualcomm liczy rozmiar potrzebnej pamięci podobnym licznikiem i przed przydziałem zaokrąga go w górę. Gdy liczba jest bliska maksimum, zaokrąglenie przekręca licznik na małą wartość. Program dostaje wtedy mały kawałek pamięci, a zapisuje do niego tyle, ile chciał pierwotnie. Nadmiar nadpisuje cudze dane.
W praktyce oznacza to, że zwykła aplikacja, która normalnie jest zamknięta we własnej „piaskownicy”, może z niej wyjść i przejąć całe urządzenie: pocztę, aplikację bankową, kody jednorazowe, kontakty. Nie da się tego zrobić z internetu na czysty telefon, ale wystarczy jedna złośliwa aplikacja na urządzeniu.
💡 Poziom poprawek zabezpieczeń to data widoczna w ustawieniach Androida (zwykle w sekcji „Informacje o telefonie”), która mówi, do którego miesięcznego biuletynu urządzenie jest załatane. Piaskownica to mechanizm, który oddziela aplikacje od siebie i od systemu. Przepełnienie całkowitoliczbowe to sytuacja, w której liczba przekracza zakres licznika i „zawija się” do małej wartości. KEV (Known Exploited Vulnerabilities) to katalog CISA z lukami potwierdzonymi jako wykorzystywane w atakach.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Pracownik instaluje aplikację spoza sklepu | Aplikacja ma dostęp tylko do tego, na co pozwoli użytkownik | Może przejąć całe urządzenie |
Aplikacja bankowa i kody jednorazowe | Chronione przed innymi aplikacjami | Dostępne dla napastnika |
Poczta firmowa z załącznikami klientów | Oddzielona od reszty | Do odczytu i wysłania dalej |
Nowy, drogi telefon bez aktualizacji | Bezpieczny dzięki nowemu sprzętowi | Tak samo podatny jak tani, liczy się poziom poprawek |
Samochód służbowy z systemem multimedialnym | Traktowany jak sprzęt, nie komputer | Komputer z danymi kierowcy, aktualizowany tylko w serwisie |
źródło: magnific.comPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Luka jest lokalna: napastnik musi najpierw uruchomić własny kod na urządzeniu, najczęściej przez aplikację podsuniętą ofierze. CISA ocenia, że ataku nie da się zautomatyzować, a Google mówi o wykorzystaniu ograniczonym i ukierunkowanym, więc to narzędzie ataków na wybrane osoby, a nie masowych kampanii.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Wybór celu | T+0 | Wytypowanie osoby z dostępem do cennych danych (zarząd, księgowość, dział przetargów) | Znany cel i model telefonu |
2. Podsunięcie aplikacji | T+godziny do dni | Link w wiadomości lub SMS do „aplikacji” spoza oficjalnego sklepu albo innej drogi uruchomienia kodu | Kod napastnika na urządzeniu z ograniczonymi uprawnieniami |
3. Wykorzystanie luki | T+minuty od instalacji | Wywołanie błędu w oprogramowaniu układu Qualcomm | Wyjście z piaskownicy, pełna kontrola nad urządzeniem |
4. Utrwalenie | T+minuty do godzin | Ukrycie narzędzia i zapewnienie dostępu po restarcie | Stały podgląd urządzenia |
5. Zbieranie danych | T+dni do tygodni | Odczyt poczty, komunikatorów, kodów jednorazowych, lokalizacji | Dostęp do kont firmowych i bankowych |
6. Wykorzystanie | T+tygodnie | Logowanie do systemów firmy, kradzież dokumentów, oszustwa finansowe | Straty finansowe i wyciek danych |
Telefon służbowy to dziś klucz do poczty, bankowości i systemów firmowych. Luka w układzie, a nie w aplikacji, dotyczy wielu marek i modeli jednocześnie, a poprawki docierają nierówno, bo każdy producent ma własny harmonogram i okres wsparcia.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Blokada i reset dostępów wielu pracowników, wymiana urządzeń bez wsparcia | Dni od wykrycia | 10 tys. do 100 tys. PLN (prace IT, zakup sprzętu) |
Bezpieczeństwo danych | Wyciek poczty, dokumentów klientów, kodów jednorazowych i haseł | Dni do tygodni | 20 tys. do 200 tys. PLN (analiza incydentu, reset dostępów) |
Finansowy | Nieautoryzowane przelewy, utracone przetargi | Tygodnie | 30 tys. do 500 tys. PLN łącznie, zależnie od limitów bankowych |
Reputacyjny | Utrata zaufania klientów, których dane były w poczcie | Miesiące | 20 tys. do 250 tys. PLN (utracone zlecenia) |
Prawny | Przy wycieku danych osobowych zgłoszenie do UODO w 72 godziny; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 10 tys. do 100 tys. PLN (prawnicy, obsługa zgłoszeń), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy z telefonami Android
bez poprawek z marca 2026
Wpływ
5 | . . . . .
4 | . ■ . . . ← ŚREDNIE / WYSOKIE
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ jest wysoki (pełna kontrola nad urządzeniem z dostępem do firmy), ale prawdopodobieństwo dla typowej firmy jest niskie, bo atak jest lokalny, ukierunkowany i wymaga podsunięcia aplikacji; dla zarządu, księgowości i firm pracujących dla dużych zamawiających przesuń znacznik w prawo.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Spisać wszystkie służbowe urządzenia z Androidem (telefony, tablety magazynowe, zegarki) z modelem i poziomem poprawek zabezpieczeń | Dziś | Administrator IT |
2 | 🔴 NATYCHMIAST | Zainstalować dostępne aktualizacje systemu na urządzeniach z poziomem starszym niż 2026-03-05, zaczynając od zarządu i księgowości | Do 3 dni | Administrator IT / pracownicy |
3 | 🟠 PILNIE | Dla każdego modelu sprawdzić u producenta, czy nadal dostaje poprawki; urządzenia bez wsparcia wpisać na listę wymiany | Do 7 dni | Administrator IT |
4 | 🟠 PILNIE | Zablokować instalację aplikacji spoza oficjalnego sklepu na urządzeniach z dostępem do finansów i danych klientów | Do 7 dni | Administrator IT |
5 | 🟠 PILNIE | W systemie zarządzania urządzeniami (MDM) ustawić minimalny poziom poprawek jako warunek dostępu do poczty firmowej | Do 14 dni | Administrator IT |
6 | 🟡 WAŻNIE | Zapytać serwis o aktualizację systemów multimedialnych w samochodach służbowych i dopisać to do karty przeglądu | Przy najbliższym przeglądzie | Kierownik floty |
7 | 🟡 WAŻNIE | Sprawdzić sprzęt do wideokonferencji i urządzenia IoT pod kątem aktualizacji firmware | Do 30 dni | Administrator IT |
Qualcomm udostępnił poprawkę producentom urządzeń w marcu 2026 roku, a Google objął ją poziomem poprawek 2026-03-05. Jeśli producent Twojego modelu jej nie wydał, obejścia tylko zmniejszają ryzyko. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Zakaz instalacji aplikacji spoza oficjalnego sklepu (zasada w MDM) | Wysoka: odcina najczęstszą drogę dostarczenia kodu | Łatwa przy MDM, średnia bez niego |
Włączony Google Play Protect | Średnia: wykrywa część znanych szkodliwych aplikacji | Łatwa |
Przeniesienie bankowości i poczty firmowej na urządzenie z aktualnymi poprawkami | Wysoka dla najcenniejszych kont | Średnia: koszt zakupu |
Szkolenie pracowników: nie instalujemy aplikacji z linków w wiadomościach | Średnia | Łatwa |
Wymiana urządzeń bez wsparcia producenta | Wysoka, docelowe rozwiązanie | Trudna budżetowo, prosta technicznie |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Wiedza o urządzeniach | Nieznane modele i poziomy poprawek | Pełna lista z datą poprawek |
Aktualizacje | Zależne od pracownika | Minimalny poziom wymuszany przed dostępem do poczty |
Instalacja aplikacji | Dowolna, także z linków | Tylko z oficjalnego sklepu na urządzeniach z dostępem do finansów |
Urządzenia bez wsparcia | Nadal w użyciu | Na liście wymiany z budżetem |
Samochody i sprzęt specjalistyczny | Poza zasięgiem IT | Aktualizacje sprawdzane przy przeglądach |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). Google: przesłanki ograniczonego, ukierunkowanego wykorzystania |
Grupy przestępcze | Brak publicznych informacji |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 7.8 WYSOKA wg Qualcomm (CVSS 3.1) |
PoC dostępny publicznie? | Brak publicznych informacji |
Liczba atakowanych firm | Brak publicznych informacji; charakter ataków ukierunkowany |
Automatyzacja ataku | CISA: niemożliwa; skutek techniczny całkowity |
Prognoza EPSS | Ok. 1,07% szansy próby wykorzystania w 30 dni, percentyl ok. 62 (wg analizy źródłowej) |
Niska prognoza EPSS przy potwierdzonych atakach nie jest sprzecznością. EPSS mierzy skalę, a ta luka nie nadaje się do masowych ataków przez internet. Dla osoby wybranej jako cel ryzyko jest realne.
Sygnały zagrożenia dla CVE-2026-21385
CVSS 3.1 (Qualcomm) 7.8/10 ████████████████░░░░ WYSOKA
EPSS (próba w 30 dni) ~1,1% ░░░░░░░░░░░░░░░░░░░░ NISKA
CISA KEV TAK ████████████████████ ataki potwierdzone
Google (biuletyn) TAK ██████████░░░░░░░░░░ ograniczone, ukierunkowane
Automatyzacja (CISA) NIE ░░░░░░░░░░░░░░░░░░░░ atak ręczny 2026-03-02 Google publikuje biuletyn Androida za marzec 2026
(poziom poprawek 2026-03-05), publikacja CVE w NVD,
CISA ocenia wykorzystanie jako aktywne
2026-03 Qualcomm publikuje biuletyn bezpieczeństwa za marzec 2026
2026-03-03 CISA dodaje lukę do katalogu KEV
2026-03-24 Termin naprawy wg CISA
2026-06-17 Ostatnia aktualizacja wpisu w NVD
... prawie 6 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Biuletyn bezpieczeństwa Androida z marca 2026: source.android.com/docs/security/bulletin/2026/2026-03-01 . Biuletyn Qualcomm: March 2026 Security Bulletin . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2026-21385 . CISA przypomina, że status poprawek trzeba sprawdzać u producenta konkretnego urządzenia.
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Zlecić spis służbowych urządzeń z Androidem z poziomem poprawek zabezpieczeń | CTO | DZISIAJ |
2 | Polecić zarządowi i księgowości natychmiastowe sprawdzenie i instalację aktualizacji systemu | CTO | DZISIAJ |
3 | Zatwierdzić zakaz instalacji aplikacji spoza sklepu na urządzeniach z dostępem do finansów | CTO | DO JUTRA |
4 | Uzyskać listę modeli bez wsparcia producenta | CTO | DO JUTRA |
5 | Zarezerwować budżet na wymianę urządzeń bez wsparcia | CFO | DO JUTRA |
6 | Sprawdzić limity i zabezpieczenia przelewów w bankowości firmowej (np. dodatkowa akceptacja) | CFO | DO JUTRA |
7 | Dopisać do zasad zakupowych minimalny okres wsparcia aktualizacjami dla nowych telefonów | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Ile służbowych urządzeń z Androidem mamy i jakie są to modele? | [liczba], [modele] | 🔴 |
2 | Ile z nich ma poziom poprawek zabezpieczeń 2026-03-05 lub nowszy? | [liczba] | 🔴 |
3 | Które modele nie dostają już aktualizacji od producenta? | [lista modeli] | 🔴 |
4 | Czy pracownicy mogą instalować aplikacje spoza oficjalnego sklepu? | TAK / NIE | 🟠 |
5 | Czy używamy systemu MDM i czy wymusza on minimalny poziom poprawek? | TAK / NIE | 🟠 |
6 | Czy prywatne telefony pracowników mają dostęp do poczty lub systemów firmy? | TAK / NIE | 🟠 |
7 | Kiedy ostatnio aktualizowano systemy multimedialne w samochodach służbowych i sprzęt wideokonferencyjny? | [data] | 🟡 |
CVE-2026-21385 to luka w wielu układach Qualcomm, która pozwala złośliwej aplikacji przejąć telefon, tablet lub inne urządzenie, a Google i CISA potwierdzają ukierunkowane ataki. Poprawkę dostarczają producenci urządzeń, więc zadanie na ten tydzień to sprawdzić poziom poprawek zabezpieczeń (co najmniej 2026-03-05) na każdym służbowym urządzeniu, zaktualizować je i zaplanować wymianę modeli bez wsparcia.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Wykorzystywana przed wydaniem poprawki luka w mechanizmie aktualizacji Windows 11 i Windows Server 2025 pozwala zwykłemu kontu przejąć komputer. Zainstaluj wrześniową aktualizację dziś.
Czytaj artykułPrzepełnienie bufora w FortiOS i FortiSwitchManager pozwala bez hasła uruchomić kod na zaporze. CISA potwierdza ataki, a przestępcy instalują trojana PivotC2. Zaktualizuj FortiOS i sprawdź zapory pod kątem włamania.
Czytaj artykułBłąd w logowaniu platformy Kestra OSS pozwala bez hasła tworzyć i uruchamiać przepływy pracy, czyli wykonywać dowolne polecenia jako root. Microsoft opisał włamanie, CISA potwierdza ataki. Zaktualizuj dziś.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.