Błąd w sterowniku układu graficznego Adreno pozwala zaatakować telefon z Androidem spreparowaną stroną w Chrome. Google TAG i CISA wskazują ataki ukierunkowane. Sprawdź, czy telefony mają poprawki 2025-08-05 lub nowsze.
Ten alert jest dla zarządu, CTO i CFO firm, których pracownicy używają służbowych telefonów z Androidem na układach Qualcomm (większość telefonów wielu marek). Werdykt: sprawdź w tym tygodniu, czy telefony mają poziom zabezpieczeń Androida 2025-08-05 lub nowszy i aktualną przeglądarkę Chrome, a telefony bez aktualizacji odetnij od poczty i dokumentów firmy, bo luka jest wykorzystywana w atakach ukierunkowanych.
Amerykańska agencja CISA 3 czerwca 2025 roku, w dniu publikacji, dopisała podatność CVE-2025-27038 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Qualcomm w czerwcowym biuletynie napisał, że według Google Threat Analysis Group luka może być przedmiotem ograniczonego, ukierunkowanego wykorzystania. Termin naprawy wg CISA minął 24 czerwca 2025 roku.
Błąd siedzi w sterownikach układu graficznego Adreno i ujawnia się podczas rysowania grafiki w przeglądarce Chrome. Spreparowana strona może doprowadzić do uszkodzenia pamięci i przejęcia telefonu. Qualcomm nie może sam dostarczyć poprawki do telefonu: trafia ona najpierw do producenta urządzenia, który wydaje ją (albo nie) dla swoich modeli. Google dołączył poprawkę do biuletynu Androida z sierpnia 2025 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-27038 |
Data dodania do CISA KEV | 2025-06-03 |
Termin naprawy wg CISA | 2025-06-24 (21 dni od wpisu) |
Produkt | Qualcomm Multiple Chipsets: sterowniki układu graficznego Adreno (komponent Graphics), używane w telefonach i tabletach wielu marek |
Wersje zagrożone | Urządzenia z układami Qualcomm wymienionymi w biuletynie (NVD podaje kilkadziesiąt układów) bez poprawki od producenta urządzenia. NVD nie podaje wersji naprawionej, bo zależy ona od konkretnego telefonu |
Wersje bezpieczne | Android z poziomem poprawek zabezpieczeń 2025-08-05 lub nowszym (biuletyn Google z sierpnia 2025) albo aktualizacja producenta telefonu obejmująca czerwcowy biuletyn Qualcomma. CISA: sprawdzić status poprawki u producenta urządzenia |
Typ podatności | Użycie pamięci po zwolnieniu (use-after-free) w sterowniku GPU; CWE-416 |
Ocena CVSS | 7.5 WYSOKA (CVSS 3.1, Qualcomm). Atak przez sieć, bez uprawnień, wymaga otwarcia treści przez użytkownika, wysoka złożoność ataku; pełny wpływ na poufność, integralność i dostępność |
Wyobraź sobie szatnię na basenie. Oddajesz szafkę, bo już jej nie potrzebujesz, ale zostawiasz sobie kopię kluczyka. Po chwili szafkę zajmuje ktoś inny i wkłada tam swoje rzeczy. Ty otwierasz ją kopią kluczyka, przekonany, że to twoje rzeczy, i bierzesz to, co tam leży. Jeśli „ktoś inny” to napastnik, sam decyduje, co znajdziesz w środku.
Tak działa ten błąd. Wyświetlanie strony w telefonie to nie tylko tekst: obrazy, animacje i przewijanie liczy układ graficzny. Jego oprogramowanie w pewnej sytuacji korzystało z pamięci, którą już oddało. Napastnik, przygotowując stronę, może zadbać, żeby w tym miejscu była jego zawartość. Skutkiem może być przejęcie telefonu, na którym jest poczta firmowa, komunikator z klientami, aplikacja bankowa i dokumenty.
💡 GPU (układ graficzny) to część procesora liczącą obraz; w telefonach z układami Qualcomm nazywa się Adreno. Sterownik to oprogramowanie, przez które system rozmawia z podzespołem. OEM to producent urządzenia (np. marka telefonu), który wbudowuje poprawki od dostawcy układu. Poziom poprawek zabezpieczeń to data widoczna w ustawieniach Androida, mówiąca, jak aktualny jest system.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Pracownik otwiera stronę w Chrome | Strona się wyświetla | Spreparowana strona może uszkodzić pamięć i przejąć telefon |
Qualcomm wydaje poprawkę | Użytkownik ją instaluje | Użytkownik czeka na producenta telefonu |
Telefon po zakończeniu wsparcia | Działa normalnie | Poprawki nie dostanie nigdy |
Poczta i dokumenty na telefonie | Dostępne dla pracownika | Mogą być dostępne dla napastnika |
Telefon z poprawkami 2025-08-05 lub nowszymi | Bezpieczny | Bezpieczny |
źródło: magnific.comPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Atak wymaga otwarcia przygotowanej treści przez użytkownika i ma wysoką złożoność, a Qualcomm mówi o wykorzystaniu ograniczonym i ukierunkowanym. To narzędzie wobec wybranych osób, a nie masowe skanowanie.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Wybór celu | T-dni | Ustalenie osoby wartej ataku: negocjator, prawnik, osoba z dostępem do danych | Konkretny telefon |
2. Dostarczenie | T+0 min | Odnośnik w wiadomości, komunikatorze lub na stronie odwiedzanej przez ofiarę | Ofiara otwiera stronę w Chrome |
3. Uszkodzenie pamięci | T+sekundy | Grafika na stronie wywołuje błąd w sterowniku Adreno | Kod napastnika działa na telefonie, zwykle w łańcuchu z innymi lukami |
4. Przejęcie danych | T+godziny | Dostęp do poczty, komunikatorów, dokumentów, kodów autoryzacyjnych | Wgląd w pracę ofiary |
5. Ciche wykorzystanie | T+dni do tygodni | Śledzenie korespondencji i negocjacji, telefon działa normalnie | Brak zgłoszeń, bo nic nie wygląda podejrzanie |
6. Skutki | T+tygodnie | Wykorzystanie informacji, przejęcie kont, dalsze ataki | Straty biznesowe i obowiązki prawne |
Telefony służbowe mają dostęp do tych samych danych co komputery, ale rzadko są pod taką samą kontrolą. Przy lukach w układach wspólnych dla wielu marek decyduje nie to, czy poprawka istnieje, ale czy producent telefonu ją dostarczy. EPSS poniżej 1% nie oznacza spokoju: oznacza, że atak jest wybiórczy.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Wymiana lub czyszczenie telefonów, wymiana haseł i kont | Dni | 5 tys. do 50 tys. PLN (sprzęt, praca IT) |
Bezpieczeństwo danych | Wyciek poczty, dokumentów, rozmów z klientami | Godziny do tygodni | 20 tys. do 200 tys. PLN (analiza, w tym urządzeń mobilnych) |
Finansowy | Utracone kontrakty i przewaga negocjacyjna | Tygodnie | 50 tys. do 1 mln PLN (zależnie od stawki) |
Reputacyjny | Klienci tracą zaufanie po wycieku z telefonu pracownika | Miesiące | 30 tys. do 300 tys. PLN |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w 72 godziny; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 15 tys. do 120 tys. PLN (obsługa prawna i zgłoszenia), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla telefonu z układem Qualcomm bez poprawki
Wpływ
5 | . . . . .
4 | ■ . ■ . . ← środek: osoby o wysokiej wartości
3 | . . . . . (negocjacje, dane wrażliwe): ŚREDNIE/WYSOKIE
2 | . . . . . ← lewo: typowy pracownik: NISKIE/ŚREDNIE
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ jest wysoki (pełne przejęcie telefonu), ale prawdopodobieństwo zależy od tego, czy w firmie jest ktoś wart kosztownego, ukierunkowanego ataku; dla większości pracowników pilniejsze są serwery dostępne z internetu, dla osób kluczowych ta luka wymaga szybkiej reakcji.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Sprawdzić poziom poprawek zabezpieczeń na telefonach zarządu i osób z dostępem do wrażliwych danych | Dziś | Administrator IT |
2 | 🟠 PILNIE | Zaktualizować system i przeglądarkę Chrome na wszystkich telefonach służbowych z Androidem | Do 3 dni | Pracownicy z pomocą IT |
3 | 🟠 PILNIE | Spisać telefony: marka, model, poziom poprawek, czy producent nadal wydaje aktualizacje | Do 7 dni | Administrator IT |
4 | 🟠 PILNIE | Na telefonach bez poprawki z sierpnia 2025 lub nowszej wylogować pocztę firmową i dostęp do dokumentów | Do 7 dni | Administrator IT |
5 | 🟡 WAŻNIE | Dopisać do zasad zakupu telefonów kryterium deklarowanego okresu aktualizacji zabezpieczeń | Do 30 dni | CFO / CTO |
6 | 🟡 WAŻNIE | Zaplanować wymianę telefonów bez wsparcia producenta | Do 90 dni | CFO |
7 | 🟡 WAŻNIE | Rozważyć system zarządzania urządzeniami mobilnymi, który wymusza minimalny poziom poprawek | Do 90 dni | CTO |
Qualcomm udostępnił poprawkę producentom urządzeń, a Google dołączył ją do biuletynu Androida z sierpnia 2025 roku. Jeśli producent telefonu nie wydał aktualizacji, użytkownik nie ma sposobu, by ją zainstalować samodzielnie. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Wymiana telefonu na model z aktualnym wsparciem | Wysoka | Średnia: wymaga budżetu |
Usunięcie poczty firmowej, dokumentów i aplikacji bankowej z telefonu bez poprawki | Średnia: ogranicza skutki, nie usuwa luki | Łatwa |
Aktualna przeglądarka Chrome | Niska do średniej: nie naprawia sterownika, ale przeglądarka to droga dostarczenia treści i aktualizuje się szybciej niż system | Łatwa |
Ostrożność z odnośnikami od nieznanych nadawców u osób narażonych | Niska: atak może przyjść z zaufanego źródła | Łatwa |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Wiedza o telefonach | Brak listy, poziom poprawek nieznany | Lista z modelem i poziomem poprawek |
Telefony osób kluczowych | Niesprawdzone | Poprawki 2025-08-05 lub nowsze |
Telefony bez wsparcia | Z pocztą i dokumentami firmy | Bez danych firmowych, zaplanowane do wymiany |
Zakupy telefonów | Cena, aparat, bateria | Także okres aktualizacji zabezpieczeń |
Przeglądarka | Aktualizowana przypadkiem | Aktualna na wszystkich telefonach |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). Qualcomm: według Google Threat Analysis Group możliwe ograniczone, ukierunkowane wykorzystanie (razem z CVE-2025-21479 i CVE-2025-21480) |
Grupy przestępcze | Brak publicznych informacji |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 7.5 WYSOKA (CVSS 3.1, Qualcomm) |
PoC dostępny publicznie? | Brak publicznych informacji |
Liczba atakowanych firm | Brak publicznych informacji; producent mówi o atakach ograniczonych i ukierunkowanych |
Zasięg | Kilkadziesiąt układów Qualcomm wg NVD; baza europejska wylicza dwie pozycje więcej |
Prognoza EPSS | Poniżej 1%, mniej więcej w połowie wszystkich znanych podatności (wg analizy źródłowej); niska wartość wynika z wybiórczego charakteru ataków |
Sygnały zagrożenia dla CVE-2025-27038
CVSS 3.1 (Qualcomm) 7.5/10 ███████████████░░░░░ WYSOKA
EPSS <1% ░░░░░░░░░░░░░░░░░░░░ atak wybiórczy
Złożoność ataku wysoka ██████░░░░░░░░░░░░░░
Ataki ukierunkowane TAK ████████████████████ wg Google TAG
CISA KEV TAK ████████████████████ ataki potwierdzone 2025-06-03 Qualcomm publikuje czerwcowy biuletyn; publikacja CVE w NVD
2025-06-03 CISA dodaje lukę do katalogu KEV w dniu publikacji
2025-06-24 Termin naprawy wg CISA dla agencji federalnych
2025-08 Biuletyn Androida z poziomem poprawek 2025-08-05 obejmuje lukę
... poprawki docierają do telefonów zależnie od producenta
2026-09-17: TUTAJ JESTEŚMY Biuletyn producenta układu: Qualcomm, czerwiec 2025 . Status poprawek dla konkretnego telefonu: strona bezpieczeństwa producenta urządzenia (zalecenie CISA). Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-27038 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Sprawdzić poziom poprawek zabezpieczeń na własnym telefonie | CTO / CFO / zarząd | DZISIAJ |
2 | Wskazać osoby w firmie, które mogą być celem ataku ukierunkowanego | CTO | DZISIAJ |
3 | Zlecić spis telefonów służbowych z poziomem poprawek | CTO | DO JUTRA |
4 | Zatwierdzić odcięcie danych firmowych na telefonach bez poprawki | CTO | DO JUTRA |
5 | Oszacować koszt wymiany telefonów bez wsparcia | CFO | DO JUTRA |
6 | Dopisać okres aktualizacji zabezpieczeń do kryteriów zakupu telefonów | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Ile telefonów służbowych z Androidem ma poziom poprawek starszy niż 2025-08-05? | [liczba] | 🔴 |
2 | Czy telefony zarządu i osób z dostępem do danych wrażliwych są zaktualizowane? | TAK / NIE | 🔴 |
3 | Które telefony nie dostają już aktualizacji od producenta? | [lista] | 🟠 |
4 | Czy Chrome jest aktualny na wszystkich telefonach? | TAK / NIE | 🟠 |
5 | Czy możemy zablokować dostęp do poczty firmowej z telefonu bez poprawek? | TAK / NIE | 🟠 |
6 | Do kiedy producenci naszych modeli deklarują aktualizacje zabezpieczeń? | [data] | 🟡 |
7 | Czy prywatne telefony z pocztą firmową są objęte tymi samymi wymaganiami? | TAK / NIE | 🟡 |
CVE-2025-27038 to błąd w sterowniku układu graficznego Qualcomm, który pozwala zaatakować telefon z Androidem przez spreparowaną stronę w Chrome. Qualcomm i CISA potwierdzają ograniczone, ukierunkowane ataki, a poprawka dociera do telefonów przez ich producentów, np. w poziomie poprawek Androida 2025-08-05. Zadanie na ten tydzień to sprawdzić poziom poprawek na telefonach, zaczynając od osób kluczowych, i odciąć dane firmowe od urządzeń bez wsparcia.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Wykorzystywana przed wydaniem poprawki luka w mechanizmie aktualizacji Windows 11 i Windows Server 2025 pozwala zwykłemu kontu przejąć komputer. Zainstaluj wrześniową aktualizację dziś.
Czytaj artykułCISA potwierdza wykorzystanie krytycznej luki w bibliotece Ajax.NET Professional, która pozwala przejąć serwer bez logowania. Znajdź stare aplikacje ASP.NET z AjaxPro, odetnij je od internetu i zaktualizuj.
Czytaj artykułLuka w N-able N-central pozwala bez logowania uruchomić kod na serwerze, z którego zarządza się komputerami wielu firm. CISA potwierdza ataki. Zaktualizuj do 2026.3.1.14, odetnij konsolę od internetu i sprawdź konta.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.