Błąd w Android Framework pozwala dodać właściciela urządzenia po konfiguracji telefonu i sięgnąć po dane. Google i CISA potwierdzają ukierunkowane ataki. Wymuś poziom poprawek 2025-12-01 lub nowszy na Androidzie 13 do 16.
Ten alert jest dla zarządu, CTO i CFO firm, które dają pracownikom telefony lub tablety z Androidem albo pozwalają na dostęp do firmowych danych z prywatnych urządzeń z Androidem. Werdykt: jeśli urządzenie z Androidem 13, 14, 15 lub 16 ma poziom poprawek zabezpieczeń starszy niż 2025-12-01, wymuś jego aktualizację w tym tygodniu, a urządzenia bez aktualizacji odetnij od firmowych danych, bo Google i CISA potwierdzają ataki.
Amerykańska agencja CISA 2 grudnia 2025 roku dopisała podatność CVE-2025-48633 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Błąd dotyczy komponentu Framework w Androidzie, w części odpowiedzialnej za zarządzanie urządzeniem (DevicePolicyManagerService). Pozwala dodać „właściciela urządzenia”, czyli rolę z najwyższymi uprawnieniami administracyjnymi, już po zakończeniu pierwszej konfiguracji telefonu, co powinno być niemożliwe.
Google w biuletynie z 1 grudnia 2025 roku napisał, że są oznaki „ograniczonego, ukierunkowanego wykorzystania” tej luki oraz bliźniaczej CVE-2025-48572, dodanej do KEV tego samego dnia. Termin naprawy wyznaczony przez CISA minął 23 grudnia 2025 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-48633 (w europejskiej bazie ENISA: EUVD-2025-201737; powiązana: CVE-2025-48572) |
Data dodania do CISA KEV | 2025-12-02 |
Termin naprawy wg CISA | 2025-12-23 |
Produkt | Android, komponent Framework (DevicePolicyManagerService, metoda hasAccountsOnAnyUser) |
Wersje zagrożone | Android 13, 14, 15 i 16 z poziomem poprawek zabezpieczeń starszym niż 2025-12-01 |
Wersje bezpieczne | Poziom poprawek zabezpieczeń 2025-12-01 lub nowszy (Google zaleca 2025-12-05 lub nowszy, który zamyka wszystkie luki z biuletynu). Czas dostarczenia poprawki zależy od producenta telefonu |
Typ podatności | Błąd logiczny w sprawdzaniu warunku. Opis CVE: lokalne podniesienie uprawnień. Biuletyn Androida i CISA: ujawnienie informacji. NVD: brak wystarczających informacji do przypisania CWE |
Ocena CVSS | NVD i CISA: 5.5 (CVSS 3.1, ŚREDNIA): atak lokalny, niskie uprawnienia, bez udziału użytkownika, wysoki wpływ na poufność, brak wpływu na integralność i dostępność. Google: waga „High” |
Wyobraź sobie biurowiec, w którym generalny klucz do wszystkich pomieszczeń wręcza się zarządcy wyłącznie w dniu oddania budynku, zanim wprowadzą się najemcy. Później nikt nie może już zostać zarządcą, bo w budynku są ludzie i ich rzeczy. Luka w Androidzie przypominała błąd w regulaminie: portier sprawdzał, czy „w budynku nie ma najemców”, ale sprawdzenie dawało złą odpowiedź, więc ktoś mógł zostać zarządcą w trakcie normalnego użytkowania budynku.
W telefonach firmowych rolę zarządcy pełni zwykle system do zarządzania urządzeniami (MDM). To on decyduje, jakie aplikacje wolno instalować, czy działa blokada ekranu, czy można zrobić zrzut ekranu i czy da się telefon zresetować. Luka pozwalała kodowi obecnemu na telefonie objąć tę rolę po fakcie, bez pytania użytkownika o zgodę. Telefon dalej działa normalnie, a w spisie urządzeń nadal wygląda na zgodny z polityką firmy.
💡 Właściciel urządzenia (Device Owner) to rola w Androidzie z najszerszymi uprawnieniami administracyjnymi, przydzielana zwykle systemowi MDM przy pierwszej konfiguracji. MDM to system do zarządzania flotą telefonów firmowych. Poziom poprawek zabezpieczeń to data widoczna w ustawieniach telefonu, która mówi, które poprawki Google są zainstalowane. Atak ukierunkowany to atak na wybrane osoby, a nie masowy.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Przydzielenie roli właściciela urządzenia | Tylko przy pierwszej konfiguracji | Możliwe także po zakończeniu konfiguracji |
Zgoda użytkownika | Wymagana, widoczna na ekranie | Niepotrzebna, brak okna z pytaniem |
Aplikacja złośliwa na telefonie | Działa w swoich ograniczeniach | Może sięgnąć po uprawnienia administracyjne |
Raport MDM o zgodności urządzenia | Wiarygodny | Może pokazywać zgodność, choć reguły ustala ktoś inny |
Dane na telefonie (poczta, dokumenty, trasy) | Chronione politykami firmy | Zagrożone ujawnieniem |
źródło: Pexels, Pavel DanilyukPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu, bo Google nie ujawnił szczegółów ataków. Luka jest lokalna: napastnik musi najpierw uruchomić kod na telefonie, np. przez złośliwą aplikację lub inną lukę. Google opisuje wykorzystanie jako ograniczone i ukierunkowane, więc chodzi raczej o wybrane osoby niż o masowe ataki.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Wybór celu | T-dni do tygodni | Wytypowanie osób, których telefony mają cenne dane | Lista ofiar |
2. Dostarczenie kodu | T+0 min | Nakłonienie do instalacji aplikacji lub użycie innej luki | Kod napastnika działa na telefonie z niskimi uprawnieniami |
3. Wykorzystanie luki | T+sekundy | Dodanie właściciela urządzenia mimo zakończonej konfiguracji | Uprawnienia administracyjne na telefonie |
4. Zdjęcie ograniczeń | T+minuty | Wyłączenie blokad, zezwolenie na instalację kolejnych narzędzi | Telefon pod kontrolą napastnika |
5. Odczyt danych | T+godziny do tygodni | Dostęp do danych, do których rola daje dostęp | Wyciek informacji firmowych |
6. Ukrycie | Stale | Brak widocznych zmian dla użytkownika i w raportach | Długotrwała obserwacja |
Telefony z Androidem trafiają do firm różnymi drogami i od wielu producentów, a każdy z nich dostarcza poprawki we własnym tempie. W efekcie część floty ma poprawki sprzed wielu miesięcy. Luka, która podważa wiarygodność systemu zarządzania urządzeniami, uderza w mechanizm, na którym firma opiera całą kontrolę nad telefonami.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Ponowna konfiguracja lub reset urządzeń, przegląd floty urządzenie po urządzeniu | Dni do tygodni | 10 tys. do 80 tys. PLN (praca IT, przestoje pracowników) |
Bezpieczeństwo danych | Ujawnienie poczty, dokumentów, danych klientów i tras | Godziny do tygodni | 20 tys. do 200 tys. PLN (analiza śledcza urządzeń, obsługa incydentu) |
Finansowy | Koszty wymiany starych urządzeń bez poprawek, koszty specjalistów | Tygodnie | 20 tys. do 250 tys. PLN |
Reputacyjny | Wyciek danych klientów z telefonów pracowników | Miesiące | 20 tys. do 300 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin, jeśli wyciekną dane osobowe; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 10 tys. do 100 tys. PLN (obsługa prawna, zgłoszenia), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla floty Androida z poprawkami sprzed 2025-12-01
Wpływ
5 | . . . . .
4 | . . . . .
3 | . ■ . . . ← ŚREDNIE
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: CVSS 5.5 i wpływ techniczny oceniony przez CISA jako częściowy dają wpływ średni, a atak lokalny, ukierunkowany i EPSS około 0,25% dają niskie prawdopodobieństwo; dla osób z dostępem do wrażliwych danych i dla firm opierających bezpieczeństwo na MDM ryzyko warto traktować jako wyższe.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Pobrać z MDM (lub zebrać ręcznie) listę urządzeń z Androidem z wersją i poziomem poprawek zabezpieczeń | Dziś | Administrator MDM |
2 | 🔴 NATYCHMIAST | Zaktualizować urządzenia zarządu, finansów i osób z dostępem do danych klientów do poziomu 2025-12-01 lub nowszego | Dziś | Administrator / użytkownicy |
3 | 🟠 PILNIE | Zaktualizować wszystkie pozostałe urządzenia z Androidem | Do 7 dni | Administrator MDM |
4 | 🟠 PILNIE | Ustawić w MDM lub w dostępie do poczty wymóg minimalnego poziomu poprawek jako warunek dostępu | Do 7 dni | Administrator |
5 | 🟠 PILNIE | Sprawdzić, czy na urządzeniach nie ma nieznanych administratorów urządzenia i aplikacji spoza zatwierdzonej listy | Do 14 dni | Administrator MDM |
6 | 🟡 WAŻNIE | Zablokować instalowanie aplikacji spoza Google Play na urządzeniach firmowych | Do 30 dni | Administrator MDM |
7 | 🟡 WAŻNIE | Zaplanować wymianę urządzeń, dla których producent nie dostarcza już poprawek | Do 30 dni (decyzja) | CTO / CFO |
Google wydał poprawkę w biuletynie z grudnia 2025 roku, ale jej dostarczenie zależy od producenta telefonu. CISA nie podaje obejścia: wymaga zastosowania poprawek lub zaprzestania używania produktu. Poniższe miary tylko ograniczają ryzyko. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Odcięcie urządzeń bez poprawki od firmowej poczty i dokumentów | Wysoka dla danych firmy | Średnia: wymaga MDM lub zasad dostępu warunkowego |
Blokada instalacji aplikacji spoza Google Play, włączony Google Play Protect | Średnia: utrudnia dostarczenie kodu na telefon | Łatwa przy MDM |
Przegląd listy aplikacji z uprawnieniami administratora urządzenia | Niska do średniej: pomaga wykryć, nie zapobiega | Średnia |
Wymiana urządzeń bez wsparcia producenta | Wysoka | Trudna: koszt sprzętu |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Poziom poprawek | Nieznany, część floty sprzed grudnia 2025 | Wszystkie urządzenia z poziomem 2025-12-01 lub nowszym |
Dostęp do firmowych danych | Z każdego urządzenia | Tylko z urządzeń spełniających minimalny poziom poprawek |
Aplikacje spoza sklepu | Dozwolone | Zablokowane na urządzeniach firmowych |
Raport zgodności MDM | Nie wiadomo, czy wiarygodny | Zweryfikowany ręcznie na próbce urządzeń |
Stare urządzenia | W użyciu bez poprawek | Wymienione lub odcięte |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). Google: oznaki ograniczonego, ukierunkowanego wykorzystania |
Grupy przestępcze | Brak publicznych informacji |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 5.5 ŚREDNIA wg NVD i CISA (CVSS 3.1) |
PoC dostępny publicznie? | Brak publicznych informacji; poprawka w kodzie AOSP jest publiczna |
Liczba atakowanych firm | Brak publicznych informacji |
Wpływ techniczny (CISA) | Częściowy; bliźniacza CVE-2025-48572 ma wpływ całkowity |
Prognoza EPSS | Około 0,0025, dolna piąta część wszystkich podatności (wg analizy źródłowej) |
Opisy tej luki różnią się w zależności od źródła: opis CVE mówi o podniesieniu uprawnień i dodaniu właściciela urządzenia, a biuletyn Androida, CISA i ocena CVSS o ujawnieniu informacji. Kategoria w katalogu jest etykietą, a nie granicą tego, co da się zrobić, więc nie zaniżaj pilności na jej podstawie.
Sygnały zagrożenia dla CVE-2025-48633
CVSS 3.1 (NVD, CISA) 5.5/10 ███████████░░░░░░░░░ ŚREDNIA
Waga wg Google High ███████████████░░░░░ WYSOKA
EPSS 0,0025 ░░░░░░░░░░░░░░░░░░░░ NISKIE (ataki celowane)
CISA KEV TAK ████████████████████ ataki potwierdzone
Ransomware (CISA) Unknown ░░░░░░░░░░░░░░░░░░░░ brak potwierdzenia 2025-12-01 Google publikuje biuletyn bezpieczeństwa Androida
z poprawką i informacją o ukierunkowanych atakach
2025-12-02 CISA dodaje CVE-2025-48633 i CVE-2025-48572 do KEV
2025-12-08 Publikacja CVE-2025-48633 w NVD
2025-12-23 Termin naprawy wg CISA dla agencji federalnych
2026-03-06 Ostatnia aktualizacja biuletynu Google
2026-06-17 Ostatnia aktualizacja wpisu w NVD
2026-09-17: TUTAJ JESTEŚMY Biuletyn bezpieczeństwa Androida z grudnia 2025: source.android.com/docs/security/bulletin/2025-12-01 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-48633 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Sprawdzić poziom poprawek na własnym telefonie (Ustawienia, Informacje o telefonie, Wersja Androida) | Zarząd | DZISIAJ |
2 | Zlecić raport poziomów poprawek dla wszystkich urządzeń z Androidem z dostępem do danych firmy | CTO | DZISIAJ |
3 | Zatwierdzić wymóg minimalnego poziomu poprawek jako warunek dostępu do poczty | CTO | DZISIAJ |
4 | Ustalić zasady dla prywatnych telefonów z firmową pocztą | CTO | DO JUTRA |
5 | Oszacować koszt wymiany urządzeń bez wsparcia producenta | CFO | DO JUTRA |
6 | Sprawdzić, czy firma ma MDM i czy obejmuje wszystkie telefony | CFO / CTO | DO JUTRA |
7 | Przy zakupie nowych telefonów uwzględnić okres wsparcia aktualizacjami | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Ile urządzeń z Androidem ma dostęp do firmowych danych? | [liczba] | 🔴 |
2 | Jaki jest najstarszy poziom poprawek zabezpieczeń w tej grupie? | [data] | 🔴 |
3 | Czy wszystkie urządzenia mają poziom poprawek 2025-12-01 lub nowszy? | TAK / NIE | 🔴 |
4 | Czy MDM wymusza minimalny poziom poprawek jako warunek dostępu? | TAK / NIE | 🟠 |
5 | Ile urządzeń nie dostaje już aktualizacji od producenta? | [liczba] | 🟠 |
6 | Czy na urządzeniach firmowych można instalować aplikacje spoza Google Play? | TAK / NIE | 🟠 |
7 | Czy prywatne telefony z firmową pocztą podlegają tym samym wymogom? | TAK / NIE | 🟡 |
CVE-2025-48633 w Androidzie 13 do 16 pozwala kodowi na telefonie objąć rolę właściciela urządzenia po zakończeniu konfiguracji i sięgnąć po dane, a Google i CISA potwierdzają ukierunkowane ataki. Poprawka jest w poziomie zabezpieczeń 2025-12-01, termin CISA minął 23 grudnia 2025 roku, więc raport poziomów poprawek i wymuszenie aktualizacji jako warunku dostępu do danych to zadania na ten tydzień.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Przepełnienie bufora w FortiOS i FortiSwitchManager pozwala bez hasła uruchomić kod na zaporze. CISA potwierdza ataki, a przestępcy instalują trojana PivotC2. Zaktualizuj FortiOS i sprawdź zapory pod kątem włamania.
Czytaj artykułLuka w systemach PLM firmy PTC pozwala bez logowania przejąć serwer. Grupa Cl0p wykorzystuje ją do kradzieży dokumentacji produktów i szantażu. Zainstaluj poprawki i sprawdź ślady włamania.
Czytaj artykułBłąd w bibliotece Starlette, podstawie FastAPI, pozwala omijać zabezpieczenia części aplikacji, a w łańcuchu z luką LiteLLM przejąć bramkę AI. CISA potwierdza ataki. Zaktualizuj do 1.0.1 lub nowszej.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.