به گزارش کارگروه امنیت سایبربان ؛ کاربران اندروید این هفته با یک وضعیت پیچیده مواجه شده‌اند. گوگل و سامسونگ در حالی بسته‌های امنیتی جدیدی برای گوشی‌های پیکسل و گلکسی منتشر کرده‌اند که هنوز مهم‌ترین پچ‌های امنیتی در آن‌ها در نظر گرفته نشده است. این در حالی‌ست که مهلت تعیین‌شده برای ایمن‌سازی دستگاه‌ها یا توقف استفاده از آن‌ها، ۲۴ ژوئن اعلام شده و زمان زیادی باقی نمانده است. اگرچه بیش از ۳۰ اصلاحیه امنیتی منتشر شده، اما حیاتی‌ترین آن‌ها هنوز ارائه نشده‌اند.
این پچ‌های امنیتی مربوط به حفره‌های امنیتی هستند که مدت‌هاست انتظارشان را داریم. کوالکام هشدار داده که بر اساس گزارش گروه تحلیل تهدید گوگل (Google Threat Analysis Group)، سه نقطه آسیب‌پذیری با شناسه‌های CVE-2025-21479، CVE-2025-21480 و CVE-2025-27038 ممکن است هم‌اکنون در سطحی محدود و هدفمند در حال بهره‌برداری باشند. این آسیب‌پذیری‌ها در درایورهای مربوط به پردازنده گرافیکی Adreno مشاهده شده‌اند.
اگرچه هنوز به‌طور رسمی تأیید نشده، اما به نظر می‌رسد این حملات در قالب نرم‌افزارهای جاسوسی تجاری انجام شده‌اند؛ درست مشابه حملاتی که پیش از این توسط سازمان عفو بین‌الملل افشا شده بود. کوالکام اعلام کرده که پچ‌های امنیتی لازم را در ماه مه در اختیار تولیدکنندگان تجهیزات (OEM) قرار داده و به آن‌ها توصیه جدی کرده که این به‌روزرسانی‌ها را هرچه سریع‌تر روی دستگاه‌های آسیب‌پذیر اعمال کنند.
این ضرب‌الاجل از سوی آژانس امنیت سایبری ایالات متحده (CISA) صادر شده و برای کارکنان دولت فدرال الزامی است، اما برای سایر کاربران نیز به‌طور جدی توصیه شده است. این نهاد هشدار داده که «تعدادی از تراشه‌های کوالکام» آسیب‌پذیری‌هایی را در خود دارند که شرح فنی آن‌ها به‌شرح زیر است:
CVE-2025-27038: یک نقص از نوع use-after-free که ممکن است هنگام پردازش گرافیکی در مرورگر Chrome با استفاده از درایورهای Adreno منجر به آسیب در حافظه شود.
CVE-2025-21480: آسیب‌پذیری مربوط به مجوزدهی نادرست که به اجرای غیرمجاز برخی فرمان‌ها در micronode پردازنده گرافیکی منجر شده و می‌تواند حافظه را دچار خرابی کند.
CVE-2025-21479: این نقص نیز مانند مورد قبلی، ناشی از اجرای غیرمجاز فرمان‌ها در micronode GPU بوده و باعث تخریب حافظه می‌شود.
آژانس CISA به کارکنان فدرال مهلت ۲۱ روزه داده تا گوشی‌های خود را به‌روزرسانی کنند؛ در غیر این صورت باید استفاده از آن‌ها را متوقف کنند، مگر آن‌که راهکارهایی برای کاهش ریسک آسیب‌پذیری ارائه شده باشد. از آنجا که فرصت انتشار پچ‌های امنیتی ماه ژوئن از دست رفته، احتمال دارد که با ارائه‌نشدن به‌روزرسانی‌های خارج از برنامه،کاربران بتوانند این به روزرسانی را به از سر بگذارنند.
در گذشته دیده شده که گوشی‌های پیکسل سریع‌تر از مدل‌های سامسونگ این به‌روزرسانی‌ها را دریافت می‌کنند و گوشی‌های سامسونگ معمولاً با تأخیر مواجه‌اند. سامسونگ هم هشدار داده که ممکن است پچ‌های امنیتی ارائه‌شده توسط سازندگان تراشه‌ها در بسته‌های امنیتی این ماه قرار نگرفته باشند و تأکید کرده که این اصلاحیه‌ها به محض آماده‌سازی، در به‌روزرسانی‌های بعدی گنجانده خواهند شد.
این وضعیت بار دیگر دشواری سامسونگ را در مدیریت سیستم‌عاملی نشان می‌دهد که گرچه بر بازار سلطه دارد، اما خارج از کنترل مستقیم این شرکت است. در این شرایط، آن‌چه برای کاربران سامسونگ اهمیت بیشتری دارد، سرعت عرضه اندروید ۱۶ از طریق رابط کاربری One UI 8 خواهد بود. انتظار می‌رود جدول زمانی به‌روزرسانی نسخه پیکسل به‌زودی اعلام شود و فاصله‌ی زمانی میان دو برند در این زمینه تأثیر بسزایی خواهد داشت.
هرچند ضرب‌الاجل CISA تنها برای پرسنل دولت فدرال الزامی است، اما این سازمان مأموریت خود را خدمت‌رسانی به جامعه‌ی امنیت سایبری و مدافعان شبکه و کمک به تمامی سازمان‌ها برای مدیریت مؤثر آسیب‌پذیری‌ها و همگام‌ماندن با تهدیدات می‌داند. بر همین اساس، از تمامی کاربران اندروید خواسته شده تا به‌محض انتشار پچ‌های امنیتی کوالکام، نسبت به نصب آن‌ها اقدام کنند.
