WhisperPair: חולשה ב-Google Fast Pair מאפשרת לחטוף אוזניות Bluetooth ולעקוב אחרי הבעלים
ב-15 בינואר 2026 חשפו חוקרי KU Leuven את WhisperPair, חולשה ב-Google Fast Pair (CVE-2025-36911). תוקף בטווח של 14 מטרים יכול לחבר לעצמו אוזניות ולהקליט דרכן.
TL;DR בקצרה
- חוקרי KU Leuven חשפו ב-15 בינואר 2026 את WhisperPair, פרצה ב-Google Fast Pair עם מספר CVE-2025-36911.
- אביזרים רבים מקבלים בקשת צימוד גם כשהם לא במצב צימוד, ולכן תוקף בטווח של עד 14 מטרים יכול להתחבר אליהם תוך כ-10 שניות.
- אחרי החיבור הוא משמיע אודיו או מקליט דרך המיקרופון, ואפשר לעקוב אחרי האביזר דרך Find Hub.
- הפתרון היחיד הוא עדכון קושחה מהיצרן. איפוס, ניתוק צימוד וכיבוי Fast Pair בטלפון לא עוזרים.
ב-15 בינואר 2026 חשפו חוקרים מ-KU Leuven את WhisperPair, חולשה ב-Google Fast Pair שמאפשרת לחטוף אוזניות ורמקולי Bluetooth. החולשה, CVE-2025-36911, חלה על אביזרים שמיישמים את הפרוטוקול באופן שגוי. Google דירגה אותה כקריטית. התיקון צריך להגיע מיצרן האביזר, ולא מהטלפון.
Fast Pair הוא הפרוטוקול של Google שמחבר אוזניות לטלפון בהקשה אחת. לפי המפרט, אביזר צריך לקבל בקשת צימוד רק כשהוא במצב צימוד. החוקרים מצאו שאביזרים רבים לא אוכפים את הבדיקה הזאת.
איך WhisperPair חוטפת אוזניות Bluetooth
התוקף צריך להיות בטווח של עד 14 מטרים. הוא מעביר לאביזר בקשת Fast Pair ומשלים צימוד Bluetooth רגיל. לפי החוקרים, זה לוקח 10 שניות בחציון. ההתקפה לא דורשת מגע באביזר ולא פעולה של המשתמש. מספיק טלפון, מחשב נייד או Raspberry Pi.
אחרי הצימוד התוקף שולט באביזר. הוא יכול להשמיע אודיו בעוצמה גבוהה. הוא יכול גם להקליט שיחות דרך המיקרופון של האביזר.
יש גם צד של מעקב. אם האביזר לא הותאם מעולם למכשיר אנדרואיד, התוקף יכול לרשום אותו ברשת Find Hub של Google תחת החשבון שלו. כך הוא עוקב אחרי המיקום. החוקרים מציינים שהקורבן עשוי לקבל התראת מעקב רק אחרי שעות או ימים, והיא תציג את המכשיר שלו עצמו. לכן הוא עלול לפטור אותה כתקלה.
הפרצה קיימת באביזר ולא בטלפון. לכן גם משתמשי אייפון עם אביזר פגיע חשופים לה.
אילו מכשירים חשופים ומה אומרת Google
לפי BleepingComputer, הפרצה עשויה לחול על מאות מיליוני אוזניות, אוזניות תוך-אוזן ורמקולים. הכתבה מזכירה מוצרים של Google, Jabra, JBL, Logitech, Marshall, Nothing, OnePlus, Sony, Soundcore ו-Xiaomi.
ברשימה שבעמוד של החוקרים, שעשויה להשתנות, 13 מתוך 21 דגמים פגיעים. ביניהם Sony WH-1000XM6, WH-1000XM5 ו-WF-1000XM5, וגם Pixel Buds Pro 2 ו-JBL TUNE BEAM. דגמים של Sonos, Bose ו-Bang & Olufsen יצאו לא פגיעים.
החוקרים דיווחו ל-Google באוגוסט 2025. הצדדים קבעו חלון חשיפה של 150 ימים, כדי שהיצרנים יספיקו לפרסם תיקונים. Google שילמה להם את הפרס המרבי, 15,000 דולר.
בעלון האבטחה של Pixel לינואר 2026 מופיעה CVE-2025-36911 כחולשה קריטית ברכיב Bluetooth, מסוג חשיפת מידע. Google פרסמה את הבעלון ב-12 בינואר ועדכנה אותו ב-15 בינואר. רמת עדכון אבטחה 2026-01-05 ומעלה מכסה אותו. הבעלון אינו מציין ניצול בפועל.
איך מתגוננים מ-WhisperPair
לדברי החוקרים, הפתרון היחיד הוא עדכון קושחה מיצרן האביזר. לא לכל אביזר פגיע יש כבר עדכון. איפוס להגדרות היצרן וניתוק הצימוד לא מתקנים את החולשה. גם כיבוי Fast Pair בטלפון לא מונע את התקיפה, כי הפרוטוקול מובנה באביזר.
עדכון הטלפון לבדו לא מספיק, אף שכדאי לעשות אותו. הסיכון תלוי בקרבה פיזית. הוא רלוונטי בעיקר במקומות הומים, שבהם תוקף יכול לעמוד במרחק של 14 מטרים.
מה זה אומר עבורכם
- חפשו עדכון קושחה: באפליקציה של היצרן או באתר התמיכה שלו. התקינו אותו גם אם האוזניות עובדות כרגיל.
- בדקו את הדגם שלכם: ברשימת המכשירים הפגיעים בעמוד של החוקרים. הרשימה אינה ממצה.
- אל תפטרו התראת מעקב: אם מופיעה התראה שמציגה את האביזר שלכם, אל תראו בה תקלה. החוקרים מזהירים שזה בדיוק מה שמשתמשים עושים.
- עדכנו גם את הטלפון: ב-Pixel, רמת אבטחה 2026-01-05 ומעלה. זה לא פותר את בעיית האביזר, אבל סוגר את הצד של הטלפון.
- בשיחות רגישות: שקלו להשתמש באוזניות אחרות עד שיש עדכון לדגם שלכם.
מקורות והרחבה
- WhisperPair: Hijacking Bluetooth Accessories Using Google Fast PairKU Leuven COSIC
- Pixel Update Bulletin, January 2026 (CVE-2025-36911)Android Open Source Project
- Critical WhisperPair flaw lets hackers track, eavesdrop via Bluetooth audio devicesBleepingComputer
- WhisperPair Attack Leaves Millions of Bluetooth Accessories Open to HijackingSecurityWeek
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
