Błąd w Android Runtime (CVE-2025-48543) pozwala kodowi z przeglądarki Chrome wyjść z piaskownicy i przejąć telefon. Google i CISA potwierdzają celowane ataki. Zaktualizuj telefony do poziomu poprawek 2025-09-01.
Ten alert jest dla zarządu, CTO i CFO firm, których pracownicy mają na telefonach z Androidem firmową pocztę, bankowość, kody logowania i dostęp do systemów w chmurze. Werdykt: jeśli telefon z Androidem 13, 14, 15 lub 16 ma poziom poprawek zabezpieczeń starszy niż 2025-09-01, zaktualizuj go w tym tygodniu, bo Google i CISA potwierdzają celowane ataki, w których otwarta strona prowadzi do przejęcia telefonu.
Amerykańska agencja CISA 4 września 2025 roku dopisała podatność CVE-2025-48543 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Błąd siedzi w Android Runtime, warstwie wykonującej kod aplikacji. Pozwala kodowi zamkniętemu w izolowanym obszarze przeglądarki Chrome wydostać się z niego i zaatakować system_server, centralny proces Androida, bez żadnego udziału właściciela telefonu.
Google w biuletynie z września 2025 roku napisał, że są oznaki ograniczonego, celowanego wykorzystania tej luki. To zwykle drugi krok ataku: najpierw napastnik przejmuje przeglądarkę spreparowaną stroną, a potem ta luka daje mu cały telefon. Termin CISA minął 25 września 2025 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-48543 (w europejskiej bazie ENISA: EUVD-2025-26791) |
Data dodania do CISA KEV | 2025-09-04 |
Termin naprawy wg CISA | 2025-09-25 (21 dni od wpisu) |
Produkt | Google Android, komponent Android Runtime (ART) |
Wersje zagrożone | Android 13, 14, 15 i 16 bez poziomu poprawek zabezpieczeń 2025-09-01 |
Wersje bezpieczne | Poziom poprawek zabezpieczeń 2025-09-01 lub nowszy (wszystkie poprawki z biuletynu: 2025-09-05 lub nowszy). ART jest aktualizowany także przez aktualizacje systemowe Google Play (Project Mainline) |
Typ podatności | Użycie pamięci po zwolnieniu (use-after-free) prowadzące do ucieczki z piaskownicy Chrome i lokalnego podniesienia uprawnień; CWE-416 (wg CISA w NVD; w katalogu KEV pole CWE puste). Google: waga wysoka |
Ocena CVSS | CISA (w NVD): 8.8 (CVSS 3.1, WYSOKA), wektor AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H. Atak lokalny, wymaga wcześniejszego wykonania kodu z niskimi uprawnieniami (np. w przeglądarce), bez udziału użytkownika, skutki wychodzą poza podatny komponent. NVD nie wystawił własnej oceny |
CISA w dniu wpisu nazwała błąd „nieokreśloną podatnością”, a później doprecyzowała nazwę na „użycie pamięci po zwolnieniu”. To ten sam wpis, uzupełniony, gdy przybyło informacji.
Wyobraź sobie hotel, w którym gość z zewnątrz może wejść tylko do sali konferencyjnej zamykanej od zewnątrz. Obsługa sprząta salę i oddaje klucz do recepcji, ale po chwili ktoś z obsługi wraca do sali z tym samym kluczem, nie sprawdzając, że recepcja wydała go już komuś innemu. Gość w sali podmienia klucz na klucz generalny, a obsługa wynosi go poza salę. Z zamkniętego pomieszczenia otwiera się droga do całego hotelu.
Tak działa ten błąd. Przeglądarka w telefonie pracuje w piaskownicy: strona może działać w przeglądarce, ale nie ma dostępu do poczty, zdjęć ani ustawień. Android Runtime w pewnych miejscach sięga do fragmentu pamięci, który już zwolnił, a atakujący zdążył podstawić tam własne dane. Dzięki temu kod z piaskownicy wydostaje się i atakuje proces, który zarządza uprawnieniami całego telefonu.
💡 Piaskownica (sandbox) to izolowany obszar, w którym program działa bez dostępu do reszty systemu. Use-after-free to błąd, w którym program używa pamięci, którą już zwolnił. system_server to centralny proces Androida zarządzający uprawnieniami, ekranem blokady i aplikacjami. Poziom poprawek zabezpieczeń to data w ustawieniach telefonu, do której urządzenie jest załatane. KEV to katalog CISA z lukami potwierdzonymi jako wykorzystywane w atakach.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Pracownik otwiera złośliwą stronę | Nawet przejęta przeglądarka zostaje w piaskownicy | Kod wydostaje się z piaskownicy do procesu systemowego |
Dostęp do poczty i aplikacji bankowej | Chroniony przez uprawnienia systemu | W zasięgu napastnika |
Kody jednorazowe SMS i w aplikacjach | Tylko dla właściciela telefonu | Mogą zostać przechwycone |
Reakcja użytkownika | Nic się nie dzieje | Też nic nie widać: brak zawieszenia, brak komunikatu |
Telefon z poprawkami z sierpnia 2025 | Uważany za aktualny | Nadal podatny |
źródło: magnific.comPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Luka jest lokalna i nie zaczyna ataku: wymaga, żeby napastnik miał już wykonanie kodu z niskimi uprawnieniami, na przykład w przeglądarce. Google opisuje ataki jako ograniczone i celowane, a CISA ocenia, że nie da się ich zautomatyzować.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Wybór celu | T+0 | Wybór konkretnych osób (zarząd, finanse, handlowcy z dostępem do klientów) | Lista celów i kanałów kontaktu |
2. Zwabienie | T+dni | Link w SMS-ie, komunikatorze lub e-mailu do przygotowanej strony | Pracownik otwiera stronę w Chrome |
3. Przejęcie przeglądarki | T+sekundy | Wykorzystanie innej luki w przeglądarce | Kod napastnika w piaskownicy Chrome |
4. Ucieczka z piaskownicy | T+sekundy | Wykorzystanie luki w Android Runtime do ataku na system_server | Uprawnienia systemowe na telefonie |
5. Przejęcie danych | T+minuty | Dostęp do poczty, komunikatorów, kodów jednorazowych, danych aplikacji | Konta firmowe i finansowe w rękach napastnika |
6. Wykorzystanie | T+godziny do dni | Logowanie do systemów firmy, przelewy, szpiegowanie korespondencji | Straty finansowe, wyciek danych |
Mogę Ci jakoś pomóc?
Telefon służbowy to często klucz do poczty, bankowości, systemów w chmurze i kodów logowania dwuskładnikowego. Luka zamienia ograniczone przejęcie przeglądarki w pełne przejęcie urządzenia, bez żadnego sygnału dla użytkownika. Ataki celowane są zwykle lepiej przygotowane i trudniejsze do wykrycia niż masowe.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Reset i wymiana telefonów, blokada kont, praca IT przy odtwarzaniu dostępów | Dni | 10 tys. do 100 tys. PLN (urządzenia, praca IT) |
Bezpieczeństwo danych | Przejęcie poczty, komunikatorów, kontaktów klientów, kodów logowania | Minuty od otwarcia strony | 20 tys. do 200 tys. PLN (analiza incydentu) |
Finansowy | Nieautoryzowane przelewy, wyłudzenia z przejętych kont | Godziny do dni | 20 tys. do 500 tys. PLN (zależnie od limitów) |
Reputacyjny | Wyciek poufnej korespondencji, oszustwa wobec klientów w imieniu firmy | Tygodnie | 30 tys. do 300 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin, a przy wysokim ryzyku także powiadomienia osób; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 10 tys. do 100 tys. PLN (prawnicy, obsługa zgłoszeń), bez ewentualnej kary |
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy z telefonami Android 13 do 16
bez poprawek z września 2025
Wpływ
5 | . . . . .
4 | . . ■ . . ← WYSOKIE
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ jest wysoki (pełne przejęcie telefonu z dostępem do poczty i finansów), a prawdopodobieństwo średnie, bo ataki są celowane, wymagają połączenia z drugą luką i nie da się ich zautomatyzować; dla zarządu i osób zatwierdzających płatności ryzyko jest wyższe.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Sprawdzić poziom poprawek zabezpieczeń na telefonach zarządu, finansów i handlowców (Ustawienia, Informacje o telefonie) | Dziś | Dział IT / pracownicy |
2 | 🔴 NATYCHMIAST | Zainstalować aktualizacje systemu i aktualizacje systemowe Google Play, aż do poziomu 2025-09-01 lub nowszego | Do 2 dni | Dział IT / pracownicy |
3 | 🟠 PILNIE | Sprawdzić, czy aktualizacje systemowe Google Play i Google Play Protect nie zostały wyłączone w konfiguracji firmowej | Do 3 dni | Dział IT |
4 | 🟠 PILNIE | Zaktualizować przeglądarkę Chrome na wszystkich telefonach | Do 3 dni | Dział IT |
5 | 🟠 PILNIE | W systemie MDM ustawić minimalny poziom poprawek jako warunek dostępu do poczty i systemów firmy | Do 7 dni | Dział IT |
6 | 🟡 WAŻNIE | Spisać modele, które nie dostają już aktualizacji od producenta, i zaplanować ich wymianę | Do 30 dni | CTO / CFO |
7 | 🟡 WAŻNIE | Przypomnieć pracownikom o ostrożności z linkami w SMS-ach i komunikatorach, zwłaszcza od nieznanych nadawców | Do 30 dni | CTO |
Google wydał poprawkę w biuletynie z września 2025 roku i nie podaje obejścia w postaci zmiany ustawień. Jako mechanizm ochronny producent wskazuje Google Play Protect, włączony domyślnie na urządzeniach z usługami Google. Oceny efektywności poniżej to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Włączenie aktualizacji systemowych Google Play (ART jest modułem Mainline) | Wysoka, jeśli poprawka dotrze tą drogą | Łatwa |
Pozostawienie włączonego Google Play Protect | Średnia: dodatkowa warstwa wskazana przez producenta | Łatwa |
Odcięcie telefonów bez poprawki od firmowej poczty i systemów w MDM | Wysoka dla danych firmowych | Średnia |
Wymiana urządzenia bez wsparcia na model z aktualizacjami | Wysoka i docelowa | Średnia: wymaga budżetu |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Poziom poprawek telefonów | Nieznany | 2025-09-01 lub nowszy na urządzeniach z dostępem do danych |
Aktualizacje Google Play | Czasem wyłączone przez administratora | Włączone na wszystkich urządzeniach |
Otwarcie złośliwej strony | Może zakończyć się przejęciem telefonu | Ucieczka z piaskownicy zablokowana |
Telefony bez wsparcia | Pracują z pełnym dostępem | Spisane, odcięte lub wymienione |
Zgodność z wymogami | Prawie rok po terminie CISA (wiąże agencje USA, ale jest dobrym punktem odniesienia) | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). Google: oznaki ograniczonego, celowanego wykorzystania |
Grupy przestępcze | Brak publicznych informacji o nazwach grup |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 8.8 WYSOKA wg CISA w NVD (CVSS 3.1); Google: waga wysoka |
PoC dostępny publicznie? | Brak publicznych informacji |
Liczba atakowanych firm | Brak publicznych informacji |
Automatyzacja ataku | Nie (ocena CISA) |
Numer wewnętrzny Google | A-421834866, poprawka w repozytorium platform/art |
Prognoza EPSS | ok. 0,5%, lekko malejąca w ostatnim miesiącu (wg analizy źródłowej) |
Niski EPSS przy potwierdzonych atakach to typowy obraz ataków celowanych, które nie generują masowych sygnałów:
Mogę Ci jakoś pomóc?
Sygnały zagrożenia dla CVE-2025-48543
CVSS 3.1 (CISA) 8.8/10 ██████████████████░░ WYSOKA
EPSS (prawdopodob.) ~0,5% ░░░░░░░░░░░░░░░░░░░░ NISKA
CISA KEV TAK ████████████████████ ataki potwierdzone
Google TAK ██████████░░░░░░░░░░ ograniczone, celowane
Zmiana zakresu TAK ████████████████████ wyjście z piaskownicy 2025-09-02 Google publikuje biuletyn bezpieczeństwa Androida (wrzesień 2025)
2025-09-04 CISA dodaje lukę do katalogu KEV
2025-09-04 Publikacja CVE-2025-48543 w NVD
2025-09-25 Termin naprawy wg CISA dla agencji federalnych
2026-06-17 Ostatnia aktualizacja wpisu w NVD
... prawie rok od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Biuletyn bezpieczeństwa Androida: source.android.com: Android Security Bulletin, wrzesień 2025 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-48543 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Polecić zarządowi i finansom sprawdzenie poziomu poprawek na telefonach | CTO | DZISIAJ |
2 | Poprosić dział IT o raport poziomu poprawek wszystkich telefonów z dostępem do firmowych danych | CTO | DZISIAJ |
3 | Zatwierdzić włączenie aktualizacji systemowych Google Play na wszystkich urządzeniach | CTO | DO JUTRA |
4 | Zatwierdzić regułę w MDM odcinającą telefony bez aktualnych poprawek | CTO | DO JUTRA |
5 | Oszacować koszt wymiany telefonów bez wsparcia producenta | CFO | DO JUTRA |
6 | Sprawdzić limity i zasady zatwierdzania przelewów z urządzeń mobilnych | CFO | DO JUTRA |
7 | Ustalić zasady dla prywatnych telefonów z dostępem do firmowej poczty | CTO | DO JUTRA |
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Ile telefonów z Androidem 13 do 16 ma dostęp do firmowej poczty i systemów? | [liczba] | 🔴 |
2 | Jaki najstarszy poziom poprawek zabezpieczeń mamy na tych telefonach? | [data] | 🔴 |
3 | Czy telefony zarządu i finansów mają poziom 2025-09-01 lub nowszy? | TAK / NIE | 🔴 |
4 | Czy aktualizacje systemowe Google Play są włączone na wszystkich telefonach? | TAK / NIE | 🟠 |
5 | Czy Google Play Protect jest włączony na urządzeniach firmowych? | TAK / NIE | 🟠 |
6 | Ile telefonów nie dostaje już aktualizacji od producenta? | [liczba] | 🟠 |
7 | Kiedy ostatnio sprawdzano poziom poprawek na całej flocie telefonów? | [data] | 🟡 |
CVE-2025-48543 pozwala kodowi z przeglądarki na Androidzie wydostać się z piaskownicy i przejąć telefon, a Google i CISA potwierdzają celowane ataki. Sprawdzenie i aktualizacja do poziomu poprawek 2025-09-01, włączenie aktualizacji systemowych Google Play i odcięcie urządzeń bez wsparcia od firmowych danych to zadania na ten tydzień, zaczynając od telefonów zarządu i finansów.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Luka w systemach PLM firmy PTC pozwala bez logowania przejąć serwer. Grupa Cl0p wykorzystuje ją do kradzieży dokumentacji produktów i szantażu. Zainstaluj poprawki i sprawdź ślady włamania.
Czytaj artykułBłąd w logowaniu platformy Kestra OSS pozwala bez hasła tworzyć i uruchamiać przepływy pracy, czyli wykonywać dowolne polecenia jako root. Microsoft opisał włamanie, CISA potwierdza ataki. Zaktualizuj dziś.
Czytaj artykułBłąd w bibliotece Starlette, podstawie FastAPI, pozwala omijać zabezpieczenia części aplikacji, a w łańcuchu z luką LiteLLM przejąć bramkę AI. CISA potwierdza ataki. Zaktualizuj do 1.0.1 lub nowszej.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.