Android под атакой: баг во FreeType позволяет запускать код на устройстве

Android под атакой: баг во FreeType позволяет запускать код на устройстве

Android под атакой: баг во FreeType позволяет запускать код на устройстве

Google выпустила майские обновления для Android и закрыла 46 уязвимостей. Но главная звезда релиза — брешь под идентификатором CVE-2025-27363, которую уже используют в реальных кибератаках.

Речь о баге в системном компоненте Android (CVSS 8.1), который позволяет выполнять код локально и без каких-либо дополнительных прав.

То есть вредоносное приложение может спокойно запуститься на устройстве без всякого согласия пользователя — даже кликать никуда не нужно. Google официально предупреждает:

«Это серьёзная уязвимость, позволяющая выполнить код без взаимодействия с пользователем».

Уязвимость кроется в библиотеке FreeType — это движок для рендеринга шрифтов, используется во многих платформах, включая Android. Баг представляет собой возможность записи за пределами выделенной памяти. Его можно вызвать при обработке ряда TTF-шрифтов.

Открыла его в марте команда Facebook (признанна в России экстремистской и запрещена), и тогда же стало известно, что им уже активно пользуются киберпреступники.

Уязвимость исправлена в версии FreeType 2.13.1 и выше, но это не значит, что все Android-устройства уже в безопасности.

Обновление за май также закрывает:

  • 8 багов в системных компонентах Android,
  • 15 уязвимостей в модуле Framework,
  • и ещё кучу мелких проблем, связанных с повышением привилегий, утечками данных и отказами в обслуживании.

Google призывает:

«Мы рекомендуем всем пользователям как можно скорее установить последнюю версию Android — в новых версиях платформа стала заметно устойчивее к эксплуатации уязвимостей».

Подпишитесь на новости

Банк России усиливает контроль наличных: скопленное придётся подтвердить

Принести в банк крупную сумму и заявить, что давно копил может оказаться недостаточно. Банк России рекомендовал банкам проверять происхождение наличных при операциях граждан от 5 млн рублей (за один раз или суммарно за календарный месяц). Особое внимание будут уделять операциям, нетипичным для обычных расчётов человека.

Как объяснил Банк России, кредитным организациям надо помешать выводу теневой наличности в легальный оборот. Регулятор утверждает, что меры затрагивают узкий круг клиентов.

Рекомендации охватывают переводы наличными без открытия счёта, обмен валюты, покупку слитков, драгоценных монет и обработанных природных алмазов.

Подтверждать источник денег банкам рекомендуют до операции. Для этого пригодятся справки о доходах, договор продажи имущества, документы о наследстве или дарении.

Если подтверждающие сведения у банка уже есть и объёмы операций существенно не выросли, рекомендации допускают исключение. Дробление сумм ради обхода проверки, наоборот, может вызвать дополнительные подозрения.

Параллельно ЦБ отчитался о снижении жалоб на кибермошенников: за январь — сентябрь 2026 года их стало на 34,1% меньше, чем годом ранее. Число случаев, когда аферисты убеждали людей перевести деньги или раскрыть данные, по сообщению регулятора, сократилось на 44,8%.

Зато основные претензии банковских клиентов теперь связаны с отказами в операциях и ограничениями по счетам. Хотя, по данным проверок ЦБ, необоснованных ограничений стало заметно меньше.

RSS: Новости на портале Anti-Malware.ru