Google: חולשה בשבבי Qualcomm עשויה להיות מנוצלת בהתקפות ממוקדות
ב-2 במרץ 2026 הודיעה Google על אינדיקציות לניצול ממוקד של CVE-2026-21385 בשבבי Qualcomm. התיקון כלול בעדכון של Android לחודש מרץ, ברמת תיקון 2026-03-05.
TL;DR בקצרה
- Google מציינת בעלון האבטחה של מרץ 2026 שיש אינדיקציות לניצול ממוקד ומוגבל של CVE-2026-21385 בשבבי Qualcomm.
- מכשיר עם רמת תיקון 2026-03-05 או גבוהה ממנה מקבל את כל התיקונים בעלון.
- CISA הוסיפה את החולשה ל-KEV ב-3 במרץ וקבעה לסוכנויות פדרליות מועד תיקון עד 24 במרץ.
- החולשה החמורה ביותר בעלון, CVE-2026-0006, קריטית ופוגעת ב-Android 16 בלבד.
Google הודיעה ב-2 במרץ 2026 שיש אינדיקציות לניצול ממוקד של CVE-2026-21385, חולשה בשבבי Qualcomm. התיקון כלול בעדכון האבטחה של Android לחודש מרץ. כך עולה מעלון האבטחה של Android.
Qualcomm היא אחת מיצרניות השבבים הגדולות בטלפוני Android. לכן חולשה אחת בשבב משפיעה על מכשירים של יצרנים רבים. כל יצרן מוציא את התיקון בקצב שלו.
מה ידוע על CVE-2026-21385
העלון מציין שיש אינדיקציות לניצול ממוקד ומוגבל של החולשה. Google לא פירטה מי תקף, את מי תקפו ובאיזה אופן. SecurityWeek מציינת שבאגים דומים משמשים לעיתים ספקי כלי ריגול מסחריים. הדיווח אינו מאשר זאת כאן.
החולשה היא שגיאה בהקצאת זיכרון שגורמת לשחיתות זיכרון. SecurityWeek מגדירה אותה כגלישת מספרים ברכיב הגרפיקה. Qualcomm דירגה אותה 7.8 מתוך 10, והדירוג מופיע ב-NVD.
הדירוג מניח תוקף מקומי עם הרשאות נמוכות, בלי צורך בפעולה של המשתמש. בדרך כלל חולשה כזו משמשת בשרשרת. תוקף נכנס למכשיר בדרך אחרת, ואז מרחיב את השליטה שלו בעזרתה.
לפי SecurityWeek, Google דיווחה ל-Qualcomm על הבאג ב-18 בדצמבר 2025. Qualcomm עדכנה את לקוחותיה ב-2 בפברואר 2026. החולשה משפיעה על מעל 200 שבבים של החברה.
CISA הוסיפה את CVE-2026-21385 ב-3 במרץ לקטלוג KEV, רשימת החולשות שתוקפים מנצלים בפועל. סוכנויות פדרליות בארה״ב קיבלו עד 24 במרץ לתקן. בקטלוג CISA ממליצה לבדוק את מצב התיקון מול יצרני המכשירים.
מה עוד כולל העלון של מרץ
העלון כולל שתי רמות תיקון: 2026-03-01 ו-2026-03-05. הראשונה מכסה את Framework ואת System. השנייה מכסה את הקרנל ואת רכיבי היצרנים, ובהם Arm, MediaTek, Unisoc ו-Qualcomm.
SecurityWeek מונה כמעט 130 חולשות בשני חלקי העדכון. מכשיר עם רמה 2026-03-05 או גבוהה ממנה מקבל את כולן.
החמורה ביותר היא CVE-2026-0006, חולשה קריטית ברכיב System. היא מאפשרת הרצת קוד מרחוק, בלי הרשאות נוספות ובלי פעולה של המשתמש. היא פוגעת רק ב-Android 16. העלון לא מציין ניצול שלה.
החולשה קיימת ברכיב Media Codecs. לכן Google יכולה לתקן אותה בעדכון מערכת של Google Play. אין צורך לחכות לעדכון מלא מהיצרן. העלון מציין שמכשירי Android 10 ומעלה עשויים לקבל עדכוני מערכת כאלה.
למה CVE-2026-21385 תלויה ביצרן המכשיר
העלון של Google הוא רק נקודת התחלה. מכשירי Pixel מקבלים עלון משלהם. Samsung מפרסמת עלון משלה באתר security.samsungmobile.com.
מכשיר שהיצרן הפסיק לעדכן לא יקבל את התיקון. לכן כדאי לבדוק מתי הוא קיבל עדכון אבטחה אחרון. Google Play Protect פועל כברירת מחדל במכשירים עם שירותי Google. לפי העלון, הוא חשוב במיוחד למי שמתקין אפליקציות מחוץ ל-Google Play.
מה זה אומר עבורכם
- בדקו את רמת התיקון: ברוב המכשירים היא מופיעה בהגדרות, בפרטי הגרסה של Android. היעד הוא 2026-03-05 או גבוה ממנו.
- אין עדכון זמין? בדקו באתר היצרן או בעלון שלו. Samsung ו-Pixel מפרסמות עלונים משלהן.
- ארגונים: דרשו ב-MDM רמת תיקון מינימלית של 2026-03-05. CISA נתנה לסוכנויות פדרליות עד 24 במרץ, וזה אמת מידה סבירה.
- מכשירים ישנים: טלפון בלי עדכוני אבטחה נשאר חשוף. שקלו להחליף אותו, במיוחד אם הוא משמש לעבודה.
- העדיפו Google Play: השאירו את Play Protect פעיל. התקינו אפליקציות רק ממקורות מוכרים.
מקורות והרחבה
- Android Security Bulletin, March 2026Android Open Source Project
- CVE-2026-21385 DetailNVD
- Known Exploited Vulnerabilities Catalog: CVE-2026-21385CISA
- Android Update Patches Exploited Qualcomm Zero-DaySecurityWeek
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
