Google vydal jednu z najrozsiahlejších bezpečnostných aktualizácií Androidu tohto roka – v júnovom bezpečnostnom bulletine pre Android 2026 opravil 124 zraniteľností, vrátane kritickej chyby, ktorá podľa spoločnosti môže byť už aktívne zneužívaná pri cielených útokoch.
Aktualizácia, vydaná v pondelok, rieši bezpečnostné slabiny ovplyvňujúce milióny zariadení Android po celom svete – zahŕňa kľúčové komponenty operačného systému, firmvér čipsetov, moduly jadra a ovládače hardvéru tretích strán. Medzi opravenými chybami je aj CVE-2025-48595 – závažná zraniteľnosť eskalácie privilégií, ktorá by potenciálne mohla útočníkom umožniť získať zvýšený prístup na zraniteľných zariadeniach bez akejkoľvek interakcie zo strany používateľa.
Chyba sa týka zariadení so systémom Android 14, Android 15, Android 16 a Android 16 QPR2, potvrdil Google.
Aktívne zneužívaná zraniteľnosť umožňuje tichú eskaláciu privilégií
Podľa upozornenia Google sa CVE-2025-48595 nachádza v komponente Framework systému Android a má hodnotenie závažnosti CVSS 8,4, čo ju zaraďuje medzi vysoko závažné zraniteľnosti.
Chyba vyplýva z pretečenia celého čísla (integer overflow), ktoré by mohlo umožniť spustenie ľubovoľného kódu a lokálnu eskaláciu privilégií.
„Na viacerých miestach existuje možný spôsob, ako dosiahnuť spustenie kódu z dôvodu pretečenia celého čísla,“ uvádza oficiálny popis zraniteľnosti. „Mohlo by to viesť k lokálnej eskalácii privilégií bez potreby ďalších oprávnení. Na zneužitie nie je potrebná interakcia používateľa.“
Absencia požadovanej interakcie používateľa výrazne zvyšuje úroveň hrozby spojenej s touto zraniteľnosťou. Pri mnohých kybernetických útokoch musia používatelia kliknúť na škodlivé odkazy, otvoriť infikované súbory alebo nainštalovať kompromitované aplikácie. Zraniteľnosti, ktoré možno zneužiť bez povšimnutia, sú však pre pokročilých útočníkov obzvlášť cenné, pretože znižujú pravdepodobnosť odhalenia a podozrenia zo strany používateľa.
Google pripustil, že existujú „náznaky“, že chyba „môže byť v obmedzenom rozsahu cielene zneužívaná“, no spoločnosť sa zdržala zverejnenia prevádzkových podrobností o útokoch.
Predajcovia spywaru a štátmi podporovaní aktéri pod zvýšeným drobnohľadom
Hoci Google útok nepripisuje žiadnej konkrétnej skupine, zraniteľnosti tohto charakteru sú často využívané komerčnými predajcami spywaru a kybernetickými operátormi sponzorovanými štátom.
V posledných rokoch sa pokročilé mobilné exploity cieliace na zariadenia s Androidom a iOS čoraz častejšie spájajú s odpočúvacími kampaňami využívajúcimi útočné reťazce bez kliknutia alebo takmer bez kliknutia. Takéto exploity sú zvyčajne predávané súkromnými dohľadovými firmami vládnym agentúram a spravodajským službám.
Spoločnosti ako NSO Group, Intellexa, Cytrox a ďalší vývojári spywaru opakovane čelili kontrole v súvislosti s používaním sofistikovaných mobilných exploitov určených na kompromitáciu smartfónov bez upozornenia obetí.
Vydané dve úrovne bezpečnostných záplat
V rámci mesačného cyklu vydaní Google zverejnil dve samostatné úrovne bezpečnostných záplat: 2026-06-01 a 2026-06-05.
Úroveň záplaty 2026-06-01 rieši základné zraniteľnosti frameworku a systému Android, zatiaľ čo komplexnejšia úroveň 2026-06-05 zahŕňa všetky predchádzajúce opravy spolu s ďalšími bezpečnostnými aktualizáciami týkajúcimi sa komponentov tretích strán a komponentov na úrovni jadra.
Neskorší balík záplat obsahuje opravy hardvérových a firmvérových zraniteľností spojených s viacerými výrobcami čipsetov: Imagination Technologies, MediaTek, Qualcomm a Unisoc.
Fragmentácia Androidu naďalej komplikuje bezpečnostnú odozvu
Najnovší bezpečnostný bulletin opäť poukazuje na dlhodobý problém ekosystému Android: fragmentáciu.
Hoci Google vydáva mesačné záplaty priamo prostredníctvom bulletinu Android Security Bulletin, mnohí používatelia sú pri včasnom prijímaní aktualizácií závislí od výrobcov smartfónov a mobilných operátorov. Staršie alebo lacnejšie zariadenia s Androidom nemusia niektoré bezpečnostné záplaty nikdy dostať, čím zostávajú milióny zariadení dlhodobo vystavené známym zraniteľnostiam.
Oneskorené prijímanie záplat vytvára pre útočníkov výrazné okno príležitosti. Tí totiž často spätne analyzujú bezpečnostné aktualizácie, aby identifikovali novo opravené zraniteľnosti a vytvorili exploity cieliace na nezáplatované zariadenia – proces bežne označovaný ako „patch diffing“.
Nainštalujte aktualizácie okamžite
Používatelia Androidu a správcovia podnikových sietí by mali júnové bezpečnostné aktualizácie 2026 nainštalovať ihneď, ako budú k dispozícii.
Úroveň bezpečnostnej záplaty zariadenia môžete skontrolovať tu:
Nastavenia → Zabezpečenie a súkromie → Systém a aktualizácie → Aktualizácia zabezpečenia
Odporúča sa tiež povoliť automatické aktualizácie a vyhýbať sa inštalácii aplikácií z nedôveryhodných zdrojov. Pre podnikové prostredia sa administrátorom správy mobilných zariadení (MDM) odporúča overiť stav nasadenia záplat naprieč spravovanými zariadeniami.
Viac informácii:
https://www.linkedin.com/pulse/google-fixes-120-android-vulnerabilities-june-2026-fejae
https://thehackernews.com/2026/06/google-june-2026-android-update-patches.html