Luki w Chrome i układach Snapdragon pozwalały przejąć telefony z Androidem

Wystarczyło otworzyć odpowiednio spreparowaną stronę internetową, aby zaatakować niektóre telefony z Androidem. Analitycy Sekoia opisali kampanię, w której napastnicy połączyli lukę w Chrome z błędem sterownika układu graficznego Qualcomm Adreno. Atak nie wymagał kliknięcia, instalacji aplikacji ani nadania uprawnień.

Dwa etapy ataku na telefon

Pierwszym krokiem było wykorzystanie luki CVE-2026-3910 w Chrome, oznaczonej przez Google jako poważna i wykorzystywana w praktyce. Błąd pozwalał uruchomić kod w procesie przeglądarki. Następnie napastnicy wykorzystywali CVE-2025-27038 w bibliotece użytkownika układu Adreno, aby wydostać się poza piaskownicę Chrome i uzyskać głębszy dostęp do urządzenia.

Druga luka dotyczyła ścieżki renderowania grafiki. Google Threat Intelligence opisało, że można ją było wywołać sekwencją poleceń WebGL i specjalnie przygotowanym wywołaniem synchronizacji. Telefon wyposażony w układ Snapdragon mógł zostać zaatakowany już podczas przeglądania zainfekowanej witryny.

Jakie dane były zagrożone?

Według raportu Sekoia kampania celowała w użytkowników korzystających z Chrome w wersjach 139–145 na Androidzie. Po uzyskaniu dostępu napastnicy mogli kraść między innymi cookies sesyjne, zapisane loginy, historię przeglądania oraz hasła do sieci Wi-Fi. Nie oznacza to, że każdy telefon z Androidem był podatny: potrzebne było jednoczesne występowanie odpowiedniej wersji przeglądarki i niezałatanego komponentu Qualcomm.

Aktualizacje zamykają drogę

Obie luki zostały już załatane. CVE-2025-27038 trafiła do biuletynu bezpieczeństwa Androida z sierpnia 2025 r. jako problem wysokiego ryzyka w komponencie Qualcomm Display. Google naprawiło CVE-2026-3910 w stabilnym Chrome 146.0.7680.75 oraz odpowiadających mu wydaniach na pozostałe platformy.

Sprawdź aktualność Chrome w Sklepie Play i poziom poprawki zabezpieczeń Androida w ustawieniach telefonu. Sam Snapdragon nie oznacza infekcji, ale opóźnianie aktualizacji zwiększa ryzyko podobnych ataków.