Коротко: 1 октября 2026 года Google выпустила октябрьский бюллетень безопасности Android: закрыто 25 уязвимостей в компонентах Framework и System, 7 из них признаны критическими. Самая опасная — уязвимость в System, позволяющая удалённо выполнить произвольный код (RCE) без каких-либо действий пользователя. Отдельно вышли патчи для Pixel. Обновление уже доступно — проверить и установить его стоит как можно скорее.
Что произошло
Google ежемесячно публикует бюллетень безопасности Android, и октябрьский выпуск оказался заметно насыщенным: исправлено 7 уязвимостей в компоненте Framework и 18 — в System, из которых 7 получили статус критических (одна во Framework и шесть в System). Обновление приходит на устройства с уровнем патча безопасности 2026-10-01. Подробности мы, как и всегда, перелинковываем с нашим общим гайдом по тому, как устроена безопасность Android и какие угрозы актуальны прямо сейчас — патчи выходят каждый месяц, и это не разовая история.
По типам проблем разбивка такая: во Framework две ошибки ведут к отказу в обслуживании (DoS) и пять — к повышению привилегий (EoP). В System закрыли восемь EoP-уязвимостей, пять DoS, одну RCE и четыре утечки информации. Отдельно вышли три патча для Google Play System Update (ядро Telephony и две — Wi-Fi), а также шесть патчей для Pixel-устройств, три из которых критические.
Самая опасная уязвимость — без участия пользователя
Наиболее серьёзная из закрытых проблем — критическая уязвимость в компоненте System, которая может привести к локальному повышению привилегий. Ключевая деталь: эксплуатация не требует дополнительных прав выполнения и не нуждается во взаимодействии пользователя — то есть атакующему не нужно, чтобы жертва нажала на ссылку, открыла файл или установила приложение. Это худший сценарий для устройства: вредоносный код, уже оказавшийся на телефоне любым путём (через заражённое приложение, эксплойт в браузере или уязвимость в другом компоненте), может молча получить системные права, обходя стандартные ограничения песочницы Android.
Google традиционно не раскрывает технических деталей уязвимостей до тех пор, пока у большинства пользователей не появится возможность установить патч — это стандартная практика, снижающая риск массовой эксплуатации «день в день» с публикацией бюллетеня. Но сам факт, что критическая RCE и EoP-дыры закрываются каждый месяц, означает, что устаревшая версия Android — это не абстрактный риск, а конкретная и регулярно обновляемая цель для атакующих.
Что это значит для обычных пользователей
Если вы не обновляли телефон последние несколько недель, ваше устройство всё это время было уязвимо к проблемам, которые теперь публично описаны (хотя бы на уровне типа и серьёзности) в официальном бюллетене — а значит, с высокой вероятностью уже изучаются исследователями безопасности и потенциально злоумышленниками в обратном направлении: от патча к самой уязвимости. Это касается не только флагманов Google Pixel, но и любого Android-устройства — производители других брендов обычно выпускают собственные сборки патча с небольшой задержкой.
Отдельная сложность — многие бюджетные и возрастные Android-устройства получают обновления безопасности нерегулярно или перестают получать их вовсе через 2–3 года после выпуска. Если ваш телефон больше не поддерживается производителем, закрыть подобные дыры программным патчем уже не получится — остаётся снижать риск другими способами.
Как защититься
Первое и самое важное — установить обновление вручную, не дожидаясь автоматической установки: Настройки → Безопасность и конфиденциальность → Обновление системы (пункт может называться немного иначе в зависимости от производителя). Проверяйте наличие патча хотя бы раз в месяц, особенно после выхода очередного бюллетеня Google.
Устанавливайте приложения только из Google Play и избегайте загрузки APK-файлов из сторонних источников — именно так вредоносный код чаще всего попадает на устройство и получает шанс воспользоваться ещё не закрытой уязвимостью повышения привилегий. Отключите установку приложений из неизвестных источников в системных настройках, если вы её не используете осознанно.
Если ваше устройство устарело и больше не получает патчи, разумно рассмотреть переход на модель с активной поддержкой безопасности. А до тех пор снижайте риски сетевых атак: приложение LiMP VPN для Android шифрует трафик между устройством и интернетом и скрывает его от провайдера и владельцев публичных Wi-Fi-сетей — это не закрывает уязвимости самой системы, но убирает один из путей, которым злоумышленник может доставить вредоносный код на устройство через незащищённую сеть.
Тарифы — от 69 ₽/мес, политика no-logs: страница цен LiMP VPN.