CVE-2026-49918: переполнение целого и out-of-bounds запись в Google Android
В Google Android обнаружена уязвимость CVE-2026-49918, связанная с переполнением целого числа и последующей записью за границами буфера. Эксплуатация не требует дополнительных привилегий и взаимодействия с пользователем, что позволяет локально повысить права. Уязвимость затрагивает несколько функций системы.
Подробности
Согласно описанию CVE Project, уязвимость затрагивает Google Android. В нескольких функциях системы возникает переполнение целого числа (integer overflow), которое приводит к записи за границами буфера (out of bounds write). Подобный сценарий возникает, когда вычисленное значение размера или индекса превышает допустимый диапазон, и проверки в коде не отсекают такое значение. В результате данные записываются в область памяти, не предназначенную для этого. Наиболее серьёзным следствием является возможность локального повышения привилегий (local escalation of privilege). По описанию, для эксплуатации не требуются дополнительные привилегии исполнения, а также взаимодействие со стороны пользователя — то есть атакующему не нужно, чтобы жертва открывала файл, переходила по ссылке или подтверждала какое-либо действие. Это существенно повышает практическую ценность уязвимости для злоумышленников, уже имеющих ограниченный доступ к устройству. Точная версия CVSS в предоставленной записи не указана, однако комбинация «out of bounds write» и «local escalation of privilege» без необходимости пользовательского взаимодействия обычно соответствует высокому уровню критичности. Конкретные версии Android, в которых присутствует проблема, в записи не перечислены — их следует уточнять в бюллетене безопасности Google Android Security Bulletin за соответствующий месяц.Что делать
Основная рекомендация — установить обновления безопасности Android, выпущенные производителем устройства. Google регулярно публикует ежемесячные бюллетени с патчами, и данная уязвимость, как правило, закрывается в одном из ближайших релизов. Важно учитывать, что сроки доставки обновлений зависят от вендора: для устройств Pixel патчи приходят быстрее, тогда как для моделей сторонних производителей задержка может составлять недели и месяцы. Если обновление пока недоступно, стоит применить компенсирующие меры: ограничить установку приложений из неизвестных источников, не предоставлять сомнительным программам расширенные разрешения, своевременно удалять неиспользуемый софт. Для корпоративного сегмента рекомендуется использовать MDM-решения для контроля версий ОС и минимизировать набор приложений, способных запускать локальный код. Также полезно отслеживать официальные уведомления Google и производителя устройства о выходе патча именно для вашей модели. Итог: CVE-2026-49918 — серьёзная локальная уязвимость в Google Android, вызванная переполнением целого числа и записью за границами буфера. Эксплуатация не требует привилегий и действий пользователя, что делает своевременное обновление устройства приоритетной задачей. До установки патча следует ограничить установку потенциально небезопасного ПО и усилить контроль над приложениями на устройстве.Источник: CVE Project (cvelistV5)