CVE-2026-49919: целочисленное переполнение в Android ведёт к удалённому выполнению кода

В начале 2026 года в официальном реестре CVE была опубликована информация об уязвимости CVE-2026-49919, затрагивающей платформу Google Android. Баг относится к классу целочисленных переполнений и локализован в модуле разбора шрифтов — файл ttcolr.c, функция tt_face_colr_blend_layer. Поскольку уязвимость присутствует в низкоуровневом компоненте, отвечающем за обработку цветных шрифтов формата COLR, она потенциально затрагивает огромное число устройств под управлением Android.

Подробности

Согласно описанию CVE, в функции tt_face_colr_blend_layer возникает целочисленное переполнение, которое может привести к удалённому выполнению кода (remote code execution). Несмотря на формулировку «remote», в записи также указано, что эксплуатация ведёт к локальному повышению привилегий (local escalation of privilege) и не требует дополнительных прав на выполнение. Ключевая особенность — отсутствие необходимости во взаимодействии с пользователем (user interaction is not needed): жертве не нужно открывать файл, переходить по ссылке или подтверждать какое-либо действие.

Уязвимость связана с обработкой специально сформированного шрифта. Целочисленное переполнение при вычислении размеров или смещений в tt_face_colr_blend_layer позволяет выйти за границы буфера, что при определённых условиях открывает путь к выполнению произвольного кода в контексте уязвимого процесса. Поскольку разбор шрифтов в Android выполняется системными сервисами с повышенными привилегиями, успешная эксплуатация может привести к компрометации устройства.

На момент публикации записи CVE оценка CVSS в предоставленных данных не указана. Продукт: Google Android. Конкретные версии и патч-уровни в записи не детализированы, поэтому организациям и пользователям следует ориентироваться на актуальные бюллетени безопасности Android.

Что делать

Основная рекомендация — как можно скорее установить обновления безопасности Android, выпущенные производителем устройства. Google регулярно публикует ежемесячные бюллетени, в которых исправляются подобные дефекты; проверьте, что ваш патч-уровень безопасности соответствует последнему доступному для вашей модели.

Дополнительные меры:

• Не открывайте шрифты и документы из недоверенных источников — хотя уязвимость не требует действий пользователя, снижение поверхности атаки остаётся полезной практикой.
• Ограничьте установку приложений из сторонних источников: вредоносное ПО может использовать уязвимость для повышения привилегий.
• Для организаций: включите централизованный контроль версий ОС на парке мобильных устройств (MDM/EMM) и отслеживайте выход патчей от вендоров.
• Если обновление пока недоступно для вашей модели, рассмотрите временные компенсирующие меры — ограничение обработки недоверенного контента и мониторинг аномальной активности процессов, отвечающих за работу со шрифтами.

Итог: CVE-2026-49919 — серьёзная уязвимость в Android, способная привести к выполнению кода и повышению привилегий без участия пользователя. Критически важно оперативно применить официальные патчи и держать устройства в актуальном состоянии.

Источник: CVE Project (cvelistV5)