گوگل در به‌روزرسانی و پچ امنیتی اندروید در آگوست ۲۰۲۵، ۶ آسیب‌پذیری را پچ کرده که شامل دو باگ جدی در چیپ‌های کوالکام است که به‌صورت هدفمند در حملات مورد سوءاستفاده قرار گرفته‌اند.
دو آسیب‌پذیری با شناسه‌های CVE-2025-21479 و CVE-2025-27038، توسط تیم امنیت اندروید گوگل در اواخر ژانویه ۲۰۲۵ گزارش شدند.
پچ امنیتی اندروید
CVE-2025-21479 یک ضعف در احراز هویت چارچوب گرافیکی است که می‌تواند منجر به خرابی حافظه شود. این خرابی ناشی از اجرای بدون مجوز دستورات خاصی در بخش GPU micronode در حین اجرای یک دنباله خاص از دستورات است.
CVE-2025-27038 نیز یک آسیب‌پذیری use-after-free است که هنگام رندر گرافیک با استفاده از درایورهای GPU آدرنو (Adreno) در مرورگر کروم باعث خرابی حافظه می‌شود.
گوگل اکنون پچ‌هایی را که کوالکام در ژوئن معرفی کرده بود، در این به‌روزرسانی ادغام کرده است. در آن زمان کوالکام هشدار داده بود:
«گزارش‌هایی از تیم تحلیل تهدیدات گوگل (Google Threat Analysis Group) وجود دارد که نشان می‌دهد آسیب‌پذیری‌های CVE-2025-21479، CVE-2025-21480 و CVE-2025-27038 احتمالاً به‌صورت محدود و هدفمند مورد سوءاستفاده قرار گرفته‌اند.»
توصیه ها
کوالکام اعلام کرده بود که پچ‌های مربوط به درایور GPU آدرنو در ماه می در اختیار تولیدکنندگان (OEMها) قرار گرفته و به‌طور جدی توصیه شده بود که این پچ‌ها در سریع‌ترین زمان ممکن روی دستگاه‌های آسیب‌پذیر اعمال شوند.
آژانس امنیت سایبری آمریکا (CISA) نیز در ۳ ژوئن این دو آسیب‌پذیری را به لیست آسیب‌پذیری‌های اکسپلویت شده فعال خود اضافه کرد و به سازمان‌های فدرال دستور داد تا تا ۲۴ ژوئن سیستم‌های خود را در برابر این تهدیدها ایمن‌سازی کنند.
در این به‌روزرسانی ماه آگوست، گوگل همچنین یک آسیب‌پذیری بحرانی در کامپوننت System را برطرف کرده است. مهاجمان بدون نیاز به مجوز می‌توانند با زنجیره‌سازی این باگ با سایر آسیب‌پذیری‌ها، بدون نیاز به تعامل کاربر، اقدام به اجرای کد از راه دور کنند.
گوگل دو نسخه از پچ‌های امنیتی را منتشر کرده است: یکی با برچسب 2025-08-01 و دیگری 2025-08-05. نسخه دوم شامل همه پچ‌های نسخه اول به‌علاوه پچ‌های مربوط به مؤلفه‌های متن‌بسته (Closed-source) و بخش‌هایی از کرنل است که ممکن است برای همه دستگاه‌های اندرویدی قابل اعمال نباشد.
در حالی‌که گوشی‌های پیکسل گوگل به‌صورت فوری این به‌روزرسانی‌ها را دریافت می‌کنند، سایر تولیدکنندگان ممکن است زمان بیشتری را صرف تست و بهینه‌سازی این پچ‌ها برای سخت‌افزارهای اختصاصی خود کنند.
پیش‌تر در ماه مارس نیز گوگل دو آسیب‌پذیری روز-صفر را که توسط مقامات صربستان برای باز کردن قفل گوشی‌های توقیف‌شده اندرویدی مورد سوءاستفاده قرار گرفته بود، پچ کرده بود.
همچنین در نوامبر گذشته، گوگل یک آسیب‌پذیری روز-صفر دیگر به نام CVE-2024-43047 را که توسط دولت صربستان در حملات جاسوس‌افزار NoviSpy استفاده شده بود، ترمیم کرد. این حملات ابتدا توسط تیم Project Zero گوگل در اکتبر به‌عنوان حمله‌ی فعال شناسایی شده بودند.
