Google potwierdził ukierunkowane ataki na lukę w warstwie Framework Androida 14, 15 i 16, a CISA dała agencjom trzy dni na poprawkę. Minęło ponad sto dni. Sprawdzamy, które urządzenia są zagrożone i co firma ma zrobić dziś.
Amerykańska agencja CISA wpisała lukę CVE-2025-48595 w Androidzie do katalogu podatności wykorzystywanych w atakach i dała instytucjom federalnym trzy dni na jej usunięcie. Minęło ponad sto dni od tego terminu. Jeżeli w Twojej firmie pracują tablety terenowe, telefony handlowców albo terminale z Androidem 14, 15 lub 16, ten tekst pokazuje, co sprawdzić i kto ma to zrobić.
1 czerwca 2026 roku Google opublikował czerwcowy biuletyn bezpieczeństwa Androida. Wśród ponad stu poprawek była jedna z adnotacją, której firmy nie powinny ignorować: „istnieją oznaki, że CVE-2025-48595 może być przedmiotem ograniczonego, ukierunkowanego wykorzystania”. Dzień później, 2 czerwca 2026, CISA dodała tę lukę do katalogu KEV (Known Exploited Vulnerabilities), czyli listy podatności, co do których istnieją dowody użycia w realnych atakach.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-48595 (w bazie europejskiej ENISA: EUVD-2025-210013) |
Data dodania do CISA KEV | 2 czerwca 2026 |
Termin usunięcia wg CISA | 5 czerwca 2026 (3 dni, obowiązek dla agencji federalnych USA) |
Produkt | Google Android, komponent Framework |
Wersje zagrożone | Android 14, 15, 16 oraz 16 QPR2 (NVD wymienia też wydania testowe 16 QPR2 beta 1, 2 i 3) |
Wersje bezpieczne | Urządzenia z poziomem poprawek zabezpieczeń 2026-06-01 lub nowszym (pełny pakiet czerwcowy: 2026-06-05) |
Typ podatności | Przepełnienie liczby całkowitej (CWE-190) prowadzące do wykonania kodu i lokalnego podniesienia uprawnień |
Ocena CVSS | 8.4/10, WYSOKA (CVSS 3.1, wektor AV:L/AC:L/PR:N/UI:N, ocena wystawiona przez CISA-ADP) |
Ocena producenta | Google: ważność „High” |
Użycie w ransomware (KEV) | „Unknown”, czyli brak potwierdzenia |
Status według wersji systemu:
Wersja Androida | Status wobec CVE-2025-48595 | Co zrobić |
|---|---|---|
Android 16 QPR2 (w tym beta 1, 2, 3) | 🔴 Podatna bez poprawki | Aktualizacja do wydania z poziomem 2026-06-01 lub nowszym, wersje beta zastąpić stabilną |
Android 16 | 🔴 Podatna bez poprawki | Aktualizacja od producenta urządzenia |
Android 15 | 🔴 Podatna bez poprawki | Aktualizacja od producenta urządzenia |
Android 14 | 🔴 Podatna bez poprawki | Aktualizacja od producenta urządzenia |
Android 13 i starsze | 🟠 Niewymienione w biuletynie | Brak potwierdzenia bezpieczeństwa, sprawdzić wsparcie producenta, rozważyć wymianę |
Dowolna z powyższych z poziomem 2026-06-01 lub nowszym | ✅ Poprawka zainstalowana | Utrzymywać comiesięczne aktualizacje |
Najważniejsze w tej tabeli: luka jest wykorzystywana, poprawka istnieje od czerwca 2026, a zabezpieczenie sprowadza się do aktualizacji systemu. Producent nie wskazał obejścia konfiguracyjnego.
Słowniczek: Poziom poprawek zabezpieczeń (security patch level) to data widoczna w Ustawieniach telefonu, w sekcji Informacje o telefonie lub Aktualizacje. Jeżeli pokazuje datę wcześniejszą niż 1 czerwca 2026, urządzenie nie ma tej poprawki.
Wyobraź sobie licznik kilometrów w starym samochodzie. Ma sześć cyfr. Po przejechaniu 999 999 km nie pokazuje miliona, tylko wraca do zera. Samochód jedzie dalej, a licznik podaje wartość, która nie ma nic wspólnego z rzeczywistością.
Komputery przechowują liczby w podobnych „licznikach” o stałej pojemności. Gdy program oblicza, ile miejsca w pamięci potrzebuje na dane, a wynik się „przekręci”, system rezerwuje malutką przestrzeń na dużą porcję informacji. Dane wylewają się poza wyznaczone miejsce i nadpisują to, co leży obok. Kto potrafi sterować tym wylewem, ten może zmusić system do wykonania własnych poleceń, i to z uprawnieniami dużo wyższymi niż zwykła aplikacja.
W przypadku CVE-2025-48595 błąd siedzi w warstwie Framework, czyli w „recepcji” Androida: w części, przez którą każda aplikacja zgłasza się do systemu po dostęp do plików, sieci czy kontaktów. Google podkreśla, że problem występuje w wielu miejscach kodu, a nie w jednej funkcji.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Uprawnienia aplikacji | Aplikacja ma tylko to, na co pozwolił użytkownik | Złośliwy kod może wyjść poza swoje ograniczenia |
Rola użytkownika | Każde nowe uprawnienie wymaga zgody | Samo wykorzystanie luki nie wymaga żadnego kliknięcia |
Izolacja danych firmowych | Poczta, CRM i pliki są oddzielone od innych aplikacji | Atakujący z wyższymi uprawnieniami może sięgać po dane innych aplikacji |
Kto kontroluje urządzenie | Firma i użytkownik | Potencjalnie atakujący, bez widocznych objawów |
Skala | Nie dotyczy | Atak lokalny: kod musi już działać na urządzeniu, nie da się go puścić masowo po sieci |
Słowniczek: Podniesienie uprawnień (escalation of privilege) oznacza, że program działający z ograniczonymi prawami zdobywa prawa wyższego poziomu, np. systemowe.
Słowniczek: Atak lokalny oznacza, że atakujący musi najpierw uruchomić kod na urządzeniu, najczęściej przez zainstalowaną aplikację. To nie jest luka, którą da się wykorzystać samym wysłaniem wiadomości.
Mogę Ci jakoś pomóc?
Google nie ujawnił szczegółów ataków. Wiadomo tylko, że wykorzystanie było „ograniczone i ukierunkowane”. Poniższy przebieg to model oparty na parametrach technicznych luki (atak lokalny, bez dodatkowych uprawnień, bez interakcji przy samym wykorzystaniu), a nie opis konkretnego incydentu.
Timeline ataku:
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1 | Dni lub tygodnie wcześniej | Wybór konkretnej osoby: członka zarządu, handlowca, osoby z dostępem do finansów | Zidentyfikowany cel |
2 | T+0 | Dostarczenie złośliwej aplikacji lub kodu na urządzenie (np. fałszywa aplikacja, podmieniony plik APK, inna luka jako „drzwi wejściowe”) | Kod działa na telefonie z ograniczonymi prawami |
3 | T+kilka sekund | Uruchomienie exploita CVE-2025-48595 bez żadnej zgody użytkownika | Wykonanie kodu z wyższymi uprawnieniami |
4 | T+minuty | Instalacja trwałego narzędzia szpiegującego, ukrycie jego obecności | Stały dostęp do urządzenia |
5 | T+godziny do tygodni | Ciche pobieranie poczty, dokumentów, kontaktów, danych logowania do systemów firmowych | Wyciek danych, dalszy atak na infrastrukturę firmy |
Konkretne scenariusze zagrożenia:
Słowniczek: Exploit to program lub kod, który wykorzystuje konkretną lukę w praktyce.
Telefon służbowy to dziś klucz do poczty, bankowości, uwierzytelniania dwuskładnikowego i systemów sprzedaży. Przejęcie go z wysokimi uprawnieniami rzadko kończy się na jednym urządzeniu.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Wyłączenie i ponowna konfiguracja floty urządzeń, przestój pracy w terenie | Godziny do dni | 2 000 - 15 000 PLN za dzień przestoju zespołu terenowego |
Bezpieczeństwo danych | Wyciek danych klientów z poczty, CRM, zdjęć dokumentów | Godziny do tygodni (atak cichy) | 50 000 - 400 000 PLN (analiza powłamaniowa, powiadomienia, obsługa prawna) |
Finansowy | Przechwycenie kodów autoryzacyjnych, podszycie się pod zarząd przy przelewach | Dni | Od kilkudziesięciu tysięcy do kilku milionów PLN, zależnie od limitów przelewów |
Reputacyjny | Utrata zaufania klientów po zgłoszeniu naruszenia | Tygodnie do miesięcy | Utrata 5 - 20% klientów w segmencie, którego dotyczył wyciek |
Prawny | Zgłoszenie do UODO w 72 godziny, kary RODO, roszczenia klientów | Miesiące | Kary RODO do 20 mln EUR lub 4% rocznego światowego obrotu |
Kwoty w tabeli to szacunki poglądowe dla małej i średniej firmy, a nie dane z incydentów związanych z tą luką; jedynie górna granica kar RODO wynika wprost z przepisów.
Macierz ryzyka (pozycja CVE-2025-48595):
Wpływ
5 | ■ ← CVE-2025-48595: wpływ całkowity,
4 | ■ ■ ■ ataki potwierdzone, ale ukierunkowane
3 | ■ ■ ■ ■
2 | ■ ■ ■ ■ ■
1 | ■ ■ ■ ■ ■
+-----------------
1 2 3 4 5 Prawdopodobieństwo Dlaczego wpływ 5, a prawdopodobieństwo 4, a nie 5? Skutek udanego ataku to pełna kontrola nad urządzeniem (CISA oceniła wpływ techniczny jako „total”). Jednocześnie CISA oznaczyła lukę jako niepoddającą się automatyzacji, a Google mówi o atakach ograniczonych. Dla przeciętnej firmy ryzyko jest więc wysokie, dla zarządu, działu finansów i osób z dostępem do tajemnic handlowych: bardzo wysokie.
Poprawka jest dostępna od czerwca 2026. Na dziś, 14 września 2026, każde firmowe urządzenie z Androidem 14-16 powinno mieć poziom zabezpieczeń co najmniej 2026-06-01. Jeśli nie ma, to znak, że proces aktualizacji w firmie nie działa.
Priorytet | Działanie | Termin | Odpowiedzialny | Status |
|---|---|---|---|---|
🔴 NATYCHMIAST | Spis wszystkich urządzeń z Androidem i odczyt poziomu poprawek (konsola MDM lub ręcznie) | Dzisiaj | IT Manager | ☐ |
🔴 NATYCHMIAST | Aktualizacja urządzeń z poziomem starszym niż 2026-06-01, w pierwszej kolejności zarząd i finanse | Dzisiaj | IT Manager | ☐ |
🔴 NATYCHMIAST | Odcięcie dostępu do poczty i systemów firmowych dla urządzeń bez poprawki (reguła zgodności w MDM) | Dzisiaj | IT Security | ☐ |
🟠 PILNIE | Blokada instalacji aplikacji spoza Google Play na urządzeniach służbowych | Do jutra | Administrator MDM | ☐ |
🟠 PILNIE | Lista urządzeń, których producent nie udostępnił czerwcowej poprawki, i decyzja o ich wymianie | 24-48h | IT Manager + CFO | ☐ |
🟠 PILNIE | Przegląd urządzeń osób najbardziej narażonych pod kątem nieznanych aplikacji i nietypowego zużycia danych | 24-48h | Incident Response | ☐ |
🟡 WAŻNIE | Stałe comiesięczne okno aktualizacji urządzeń mobilnych | W ciągu tygodnia | IT Manager | ☐ |
🟡 WAŻNIE | Monitorowanie logowań z urządzeń mobilnych do poczty i systemów chmurowych | W ciągu tygodnia | SOC | ☐ |
Mogę Ci jakoś pomóc?
Jeśli aktualizacja nie jest dostępna (starszy lub tani model, producent nie wydał łatki):
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Wymiana urządzenia na model z bieżącymi poprawkami | 100% | Niska (koszt, logistyka) |
Odebranie urządzeniu dostępu do danych firmowych | 90-95% | Wysoka |
Blokada instalacji aplikacji spoza Google Play i włączony Google Play Protect | 50-70% | Wysoka |
Profil służbowy (Android Enterprise) oddzielający dane firmowe | 30-50% | Średnia |
Wyłączenie trybu programisty i debugowania USB | 20-30% | Wysoka |
Wartości efektywności są orientacyjnymi szacunkami eksperckimi, a nie wynikami pomiarów dla tej luki. Producent nie wskazał żadnego obejścia, a CISA w wymaganych działaniach podaje zastosowanie poprawek albo zaprzestanie używania produktu.
Matryca decyzyjna dla zarządu:
Sytuacja urządzenia | Decyzja | Kto zatwierdza | Termin |
|---|---|---|---|
Aktualizacja dostępna, urządzenie w MDM | Wymusić instalację i restart | IT Manager | Dzisiaj |
Aktualizacja dostępna, urządzenie poza MDM (prywatne, BYOD) | Zablokować dostęp do poczty do czasu aktualizacji | IT Security + HR | Do jutra |
Brak aktualizacji od producenta, urządzenie zarządu lub finansów | Natychmiastowa wymiana urządzenia | CFO | 48h |
Brak aktualizacji od producenta, pozostałe urządzenia | Odcięcie od danych firmowych i plan wymiany | IT Manager + CFO | W ciągu tygodnia |
Urządzenie z wersją testową Androida 16 QPR2 | Przejście na wersję stabilną z poprawką lub wyłączenie z dostępu | Lider zespołu technicznego | Do jutra |
Słowniczek: MDM (Mobile Device Management) to system do centralnego zarządzania telefonami firmowymi: pozwala sprawdzić wersje, wymusić aktualizację i zablokować dostęp.
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK: Google („ograniczone, ukierunkowane wykorzystanie”) i wpis w CISA KEV |
Grupy przestępcze | Brak publicznie potwierdzonych danych; Google ani CISA nie wskazały sprawców |
Kampanie ransomware | Brak publicznie potwierdzonych danych; KEV: „Unknown” |
Ocena CVSS | 8.4/10 (WYSOKA) |
Automatyzacja ataku | NIE (ocena SSVC CISA: automatable = no, wpływ techniczny = total) |
PoC dostępny publicznie? | Brak potwierdzonego, działającego PoC; na GitHubie są repozytoria podpisane tym numerem, ale ich skuteczności nikt wiarygodnie nie potwierdził, a takie „exploity” bywają same w sobie złośliwe |
Liczba atakowanych firm | Brak publicznie potwierdzonych danych |
EPSS (13.09.2026) | 1,71% szans wykorzystania w 30 dni, wyżej niż około 76% wszystkich ocenianych luk |
Poprzednie luki Androida w KEV | CVE-2025-48572 i CVE-2025-48633 (Framework, grudzień 2025), CVE-2025-48543 (Runtime, wrzesień 2025) |
Trzy dni: skąd taki termin? Poprzednie luki w Androidzie wpisane do KEV w 2025 roku dostały po 21 dni. W 2026 roku CISA coraz częściej wyznacza trzy dni. Z naszego przeliczenia katalogu KEV wynika, że w czerwcu 2026 trzydniowy termin dostało 17 z 23 nowych wpisów, w tym oba wpisy z 2 czerwca (drugim była luka w jądrze Linux CVE-2022-0492). 10 czerwca 2026 CISA wydała dyrektywę BOD 26-04, która zastąpiła wcześniejszą BOD 22-01 i uzależnia terminy od ryzyka: tylko najpoważniejsze przypadki mają być łatane w trzy dni. CISA nie opublikowała uzasadnienia terminu dla tej konkretnej luki, więc nie wiadomo, które kryteria przesądziły.
Dla polskiej firmy termin CISA nie jest obowiązkiem prawnym. Jest za to czytelnym sygnałem: instytucja z dostępem do informacji o realnych atakach uznała sprawę za pilną. Po stu dniach od tego terminu brak poprawki to już nie opóźnienie, tylko luka w procesie.
Czy rok w numerze ma znaczenie? Numer zaczyna się od 2025, choć rekord opublikowano w czerwcu 2026. Numery CVE rezerwuje się w chwili zgłoszenia problemu, a publikuje zwykle wtedy, gdy poprawka jest gotowa. Rok w numerze nie świadczy więc o tym, że luka jest „stara” i już dawno załatana.
Linia czasu incydentu:
2026-06-01: Google publikuje biuletyn Android 2026-06-01 z poprawką
2026-06-01: Notatka Google o ograniczonym, ukierunkowanym wykorzystaniu
2026-06-01: Publikacja rekordu CVE-2025-48595 w NVD
2026-06-02: CISA dodaje lukę do katalogu KEV
2026-06-03: Google aktualizuje biuletyn o poprawki w kodzie AOSP
2026-06-05: Termin usunięcia luki dla agencji federalnych USA
2026-06-10: CISA wydaje dyrektywę BOD 26-04 (terminy zależne od ryzyka)
2026-07-22: Ostatnia aktualizacja rekordu w NVD
2026-09-02: Ostatnia aktualizacja czerwcowego biuletynu Androida
2026-09-14: TUTAJ JESTEŚMY - 101 dni po terminie CISA, sprawdź flotę dziś Przed i po aktualizacji:
Stan | Przed (poziom poprawek starszy niż 2026-06-01) | Po (2026-06-01 lub nowszy) |
|---|---|---|
Podatność CVE-2025-48595 | 🔴 Obecna | ✅ Usunięta |
Pozostałe luki z biuletynu czerwcowego, w tym krytyczne w Framework | 🔴 Obecne | ✅ Usunięte przy poziomie 2026-06-05 |
Zgodność z dobrymi praktykami (NIS2, ISO 27001) | 🟠 Trudna do wykazania | ✅ Udokumentowana |
Ryzyko dla danych firmowych na urządzeniu | 🔴 Wysokie | 🟡 Standardowe |
Mogę Ci jakoś pomóc?
Źródła poprawki i weryfikacji (adresy do skopiowania):
Poprawkę na konkretne urządzenie dostarcza jego producent (Samsung, Motorola, Xiaomi, Google Pixel i inni) lub operator. Nie ma jednego pliku do pobrania dla wszystkich telefonów.
✓ | Zadanie | Kto | Deadline |
|---|---|---|---|
☐ | Wyeksportować z MDM listę urządzeń z wersją Androida i poziomem poprawek | IT Manager | DZISIAJ |
☐ | Oznaczyć urządzenia z Androidem 14, 15, 16 i poziomem starszym niż 2026-06-01 | IT Manager | DZISIAJ |
☐ | Sprawdzić na stronie producenta, czy dla każdego modelu jest czerwcowa lub nowsza aktualizacja | IT Security | DZISIAJ |
☐ | Poinformować zarząd i pracowników o obowiązkowej aktualizacji i restarcie urządzeń | Project Manager | DZISIAJ |
☐ | Przetestować aplikacje firmowe na jednym zaktualizowanym urządzeniu każdego modelu | QA | DZISIAJ |
☐ | Wymusić aktualizację na całej flocie i zablokować dostęp urządzeniom niezgodnym | DevOps / Administrator MDM | DO JUTRA |
☐ | Sprawdzić logi logowań z urządzeń mobilnych od 1 czerwca 2026 | SOC | DO JUTRA |
☐ | Potwierdzić pisemnie, że wszystkie urządzenia mają poziom 2026-06-01 lub nowszy | IT Manager | DO JUTRA |
☐ | Zatwierdzić budżet na wymianę urządzeń bez wsparcia producenta | CFO | W ciągu tygodnia |
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Czy mamy urządzenia z Androidem 14, 15 lub 16 z poziomem poprawek starszym niż 2026-06-01? | TAK / NIE | 🔴 |
2 | Ile urządzeń nie dostało od producenta aktualizacji czerwcowej lub nowszej? | Liczba sztuk i modele | 🔴 |
3 | Czy ktoś w firmie używa wersji testowych Androida 16 QPR2 (beta 1, 2 lub 3)? | TAK / NIE | 🔴 |
4 | Czy wszystkie telefony z dostępem do poczty są zarejestrowane w MDM? | TAK / NIE | 🟠 |
5 | Czy blokujemy instalację aplikacji spoza Google Play? | TAK / NIE | 🟠 |
6 | Czy prywatne telefony pracowników (BYOD) mają dostęp do danych firmy i czy sprawdzamy ich aktualizacje? | TAK / NIE | 🟠 |
7 | Ile dni średnio mija od wydania poprawki do jej instalacji na naszej flocie? | Liczba dni | 🟡 |
8 | Czy mamy procedurę na wypadek podejrzenia przejęcia telefonu członka zarządu? | TAK / NIE | 🟡 |
Pytanie 3 łatwo pominąć. Osoby testujące zgodność aplikacji często trzymają na służbowym telefonie wersję przedpremierową systemu. Takie urządzenie bywa poza spisem i poza normalnym cyklem aktualizacji, a rekord NVD wprost wymienia wydania testowe 16 QPR2 jako podatne. Z kolei urządzeń z Androidem 13 i starszym biuletyn nie wymienia wśród podatnych, ale to nie jest potwierdzenie bezpieczeństwa: sprzęt bez bieżących poprawek należy traktować jako ryzyko samo w sobie.
Pytania diagnostyczne dla managera:
🔴 KRYTYCZNE jest jedno: poprawka istnieje od ponad trzech miesięcy. Każde firmowe urządzenie z Androidem 14-16 bez poziomu 2026-06-01 powinno zostać zaktualizowane DZISIAJ albo odcięte od danych firmowych DO JUTRA.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Błąd w NetScaler ADC i Gateway, opisany przez producenta jako awaria, pozwala według badaczy przejąć bramę VPN bez hasła. Publiczny kod istnieje, ataki trwają. Zaktualizuj urządzenia i sprawdź ślady włamania.
Czytaj artykułLuka o ocenie 10.0 w konsoli Cisco Secure Firewall Management Center pozwala ominąć logowanie i przejąć urządzenie. Cisco i CISA potwierdzają ataki. Zaktualizuj FMC i sprawdź ślady włamania.
Czytaj artykułBłąd w logowaniu platformy Kestra OSS pozwala bez hasła tworzyć i uruchamiać przepływy pracy, czyli wykonywać dowolne polecenia jako root. Microsoft opisał włamanie, CISA potwierdza ataki. Zaktualizuj dziś.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.