חדשות האבטחה של Android – דצמבר 2025

Published December 1, 2025 | Updated March 6, 2026

עדכון האבטחה הדחוף הזה ל-Android מכיל פרטים על נקודות חולשה שמשפיעות על מכשירי Android. תיקוני אבטחה מרמה 2025-12-05 ואילך פותרים את כל הבעיות האלה. במאמר איך בודקים מהי גרסת ה-Android ומעדכנים אותה מוסבר איך בודקים את רמת תיקון האבטחה במכשיר.

תוך 48 שעות אחרי הפרסום הראשוני של העדכון הזה, נפרסם את תיקוני קוד המקור התואמים במאגר של פרויקט הקוד הפתוח של Android‏ (AOSP). לאחר מכן נעדכן את העלון הזה עם הקישורים ל-AOSP.

הבעיה החמורה ביותר היא פגיעות אבטחה קריטית ברכיב Framework, שעלולה להוביל למניעת שירות מרחוק ללא צורך בהרשאות ביצוע נוספות. הערכת חומרת הפגיעות מבוססת על ההשפעה האפשרית של ניצול הפגיעות על מכשיר מושפע, בהנחה שאמצעי ההגנה של הפלטפורמה והשירות מושבתים למטרות פיתוח או אם נעקפו בהצלחה.

פרטים נוספים על אמצעי ההגנה של פלטפורמת האבטחה של Android ועל Google Play Protect, שמשפרים את האבטחה של פלטפורמת Android, מופיעים בקטע אמצעי ההגנה של Android ו-Google Play Protect.

אנחנו מודיעים לשותפי Android על כל הבעיות לפחות חודש לפני פרסום העלון.

אמצעי הגנה בשירותי Google וב-Android

זהו סיכום של אמצעי ההגנה שמסופקים על ידי פלטפורמת האבטחה של Android ועל ידי שירותי ההגנה, כמו Google Play Protect. היכולות האלה מפחיתות את הסיכוי שנקודות חולשה באבטחה ינוצלו לרעה ב-Android.

  • שיפורים בגרסאות חדשות יותר של פלטפורמת Android מקשים על ניצול של הרבה בעיות ב-Android. מומלץ לכל המשתמשים לעדכן לגרסה האחרונה של Android, אם אפשר.
  • צוות האבטחה של Android עוקב באופן פעיל אחרי ניצול לרעה באמצעות Google Play Protect ומזהיר משתמשים מפני אפליקציות שעלולות להזיק. ‫Google Play Protect מופעל כברירת מחדל במכשירים עם שירותי Google לנייד, והוא חשוב במיוחד למשתמשים שמתקינים אפליקציות ממקורות אחרים ולא מ-Google Play.

פרטים על נקודת החולשה ברמת תיקוני האבטחה – 01.12.2025

בקטעים הבאים מפורטות נקודות החולשה באבטחה שרלוונטיות לרמת התיקון 2025-12-01. נקודות החולשה מקובצות לפי הרכיב שהן משפיעות עליו. הבעיות מתוארות בטבלאות שבהמשך, וכוללות את מזהה ה-CVE, הפניות למקורות חיצוניים, סוג נקודת החולשה, חומרת הבעיה ומספרי הגרסה המעודכנים של AOSP (אם רלוונטי). כשאפשר אנחנו מקשרים את התיקון שפורסם ופותר את הבעיה למזהה של הבאג, כמו ברשימת השינויים ב-AOSP. אם כמה עדכונים קשורים לאותו באג, אנחנו מקשרים מקורות נוספים למספרים שמופיעים אחרי המזהה של הבאג. יכול להיות שמכשירים עם Android מגרסה 10 ואילך יקבלו עדכוני אבטחה וגם עדכוני מערכת של Google Play.

Framework

הפגיעות החמורה ביותר בקטע הזה עלולה להוביל למניעת שירות מרחוק ללא צורך בהרשאות ביצוע נוספות.

CVE קובצי עזר סוג מידת החומרה גרסאות AOSP מעודכנות
CVE-2025-22420 A-337775777 EoP רחב ‫13, 14, 15, 16
CVE-2025-32319 A-291281543 EoP רחב 16
CVE-2025-32328 A-327137311 EoP רחב ‫13, 14, 15
CVE-2025-32329 A-326926596 EoP רחב ‫13, 14, 15
CVE-2025-48525 A-391895151 [2] EoP רחב ‫13, 14, 15, 16
CVE-2025-48572 A-385736540 EoP רחב ‫13, 14, 15, 16
CVE-2025-48573 A-339637822 EoP רחב ‫13, 14, 15, 16
CVE-2025-48580 A-393582077 EoP רחב ‫13, 14, 15, 16
CVE-2025-48583 A-381885240 EoP רחב ‫14, 15, 16
CVE-2025-48588 A-303408193 EoP רחב ‫13, 14, 15
CVE-2025-48589 A-362492829 EoP רחב ‫13, 14, 15, 16
CVE-2025-48594 A-427206637 EoP רחב ‫14, 15, 16
CVE-2025-48596 A-438098181 EoP רחב ‫13, 14, 15, 16
CVE-2025-48597 A-436270922 EoP רחב ‫14, 15, 16
CVE-2025-48601 A-426207912 EoP רחב ‫13, 14, 15, 16
CVE-2025-48618 A-404254549 EoP רחב ‫13, 14, 15, 16
CVE-2025-48620 A-352024705 [2] EoP רחב ‫13, 14, 15, 16
CVE-2025-48621 A-266433089 [2] EoP רחב ‫13, 14, 15, 16
CVE-2025-48627 A-326571066 EoP רחב ‫13, 14
CVE-2025-48629 A-352518318 EoP רחב ‫13, 14, 15, 16
CVE-2025-48632 A-443742829 EoP רחב ‫14, 15, 16
CVE-2025-48639 A-301952571 [2] EoP רחב ‫13, 14, 15, 16
CVE-2025-48591 A-305710469 [2] מזהה רחב ‫13, 14, 15
CVE-2025-48592 A-427113482 מזהה רחב ‫15, 16
CVE-2025-48628 A-376462130 מזהה רחב ‫13, 14, 15, 16
CVE-2025-48633 A-417988098 מזהה רחב ‫13, 14, 15, 16
CVE-2025-48576 A-426205822 DoS רחב ‫13, 14, 15, 16
CVE-2025-48584 A-425662627 DoS רחב 16
CVE-2025-48590 A-417987184 DoS רחב ‫13, 14, 15, 16
CVE-2025-48603 A-416259832 DoS רחב ‫13, 14, 15, 16
CVE-2025-48607 A-416490321 DoS רחב ‫15, 16
CVE-2025-48614 A-430568718 DoS רחב ‫13, 14, 15, 16

מערכת

הפגיעות החמורה ביותר בקטע הזה עלולה להוביל להרחבת הרשאות מקומית ולהפעלת פעילות ברקע ללא צורך בהרשאות ביצוע נוספות.

CVE קובצי עזר סוג מידת החומרה גרסאות AOSP מעודכנות
CVE-2023-40130 A-289809991 EoP רחב ‫13, 14, 15, 16
CVE-2025-22432 A-376461726 EoP רחב ‫13, 14, 15, 16
CVE-2025-48536 A-388034510 EoP רחב ‫13, 14, 15, 16
CVE-2025-48575 A-417463103 EoP רחב ‫13, 14, 15, 16
CVE-2025-48586 A-337784859 EoP רחב ‫15, 16
CVE-2025-48598 A-418774489 EoP רחב 16
CVE-2025-48599 A-299633613 EoP רחב ‫13, 14
CVE-2025-48626 A-381339822 [2] EoP רחב ‫13, 14, 15, 16
CVE-2025-48555 A-396666065 מזהה רחב ‫13, 14, 15, 16
CVE-2025-48604 A-305710989 מזהה רחב ‫13, 14, 15, 16
CVE-2025-48622 A-412662901 [2] [3] מזהה רחב ‫13, 14, 15, 16

עדכוני מערכת של Google Play

אין בעיות אבטחה שמתוקנות בעדכוני המערכת של Google Play (פרויקט Mainline) החודש.

פרטים על נקודת החולשה ברמת תיקוני האבטחה – 05.12.2025

בקטעים הבאים מפורטות כל נקודות החולשה באבטחה שרלוונטיות לרמת התיקון 2025-12-05. נקודות החולשה מקובצות לפי הרכיב שהן משפיעות עליו. הבעיות מתוארות בטבלאות שבהמשך, וכוללות את מזהה ה-CVE, הפניות למקורות חיצוניים, סוג נקודת החולשה, חומרת הבעיה ומספרי הגרסה המעודכנים של AOSP (אם רלוונטי). כשאפשר אנחנו מקשרים את התיקון שפורסם ופותר את הבעיה למזהה של הבאג, כמו ברשימת השינויים ב-AOSP. אם כמה עדכונים קשורים לאותו באג, אנחנו מקשרים מקורות נוספים למספרים שמופיעים אחרי המזהה של הבאג.

בועה

הפגיעות החמורה ביותר בקטע הזה עלולה להוביל להעלאת רמת ההרשאה באופן מקומי, ללא צורך בהרשאות הפעלה נוספות.

CVE קובצי עזר סוג מידת החומרה רכיב משנה
CVE-2025-48623 A-436580278
Upstream kernel [2]		 EoP קריטית pKVM
CVE-2025-48624 A-443053939
Upstream kernel		 EoP קריטית IOMMU
CVE-2025-48637 A-443763663
Upstream kernel [2]		 EoP קריטית pKVM
CVE-2025-48638 A-442540376
Upstream kernel [2]		 EoP קריטית pKVM
CVE-2024-35970 A-432804305
Upstream kernel [2] [3] [4] [5] [6] [7] [8] [9] [10] [11] [12] [13] [14] [15] [16] [17] [18] [19] [20] [21] [22] [23] [24] [25] [26] [27] [28] [29]		 EoP רחב נטו
CVE-2025-38236 A-432753641
Upstream kernel [2]		 EoP רחב נטו
CVE-2025-38349 A-432751421
Upstream kernel [2]		 EoP רחב EPoll
CVE-2025-48610 A-432439762
Upstream kernel [2]		 מזהה רחב מכונה וירטואלית של ליבת מערכת ההפעלה
CVE-2025-38500 A-436201996
Upstream kernel [2]		 EoP בינונית XFRM

Kernel LTS

גרסאות הליבה הבאות עודכנו. עדכונים של גרסת הליבה תלויים בגרסת מערכת ההפעלה של Android בזמן השקת המכשיר.

קובצי עזר גרסת ההשקה של Android גרסת ההשקה של הליבה גרסת העדכון המינימלית
A-404245371 12 5.4 ‫5.4.292

רכיבים של זרוע

נקודות החולשה האלה משפיעות על רכיבי Arm, ופרטים נוספים זמינים ישירות מ-Arm. הערכת חומרת הבעיות האלה מסופקת ישירות על ידי Arm.

CVE הפניות למקור חיצוני מידת החומרה רכיב משנה
CVE-2025-6349 A-428702264* רחב מאלי
CVE-2025-8045 A-443063131* רחב מאלי

Imagination Technologies

הפגיעויות האלה משפיעות על רכיבים של Imagination Technologies, ופרטים נוספים זמינים ישירות מ-Imagination Technologies. הערכת חומרת הבעיות האלה מסופקת ישירות על ידי Imagination Technologies.

CVE הפניות למקור חיצוני מידת החומרה רכיב משנה
CVE-2025-6573 A-384999601* רחב PowerVR-GPU
CVE-2025-25177 A-416692063* רחב PowerVR-GPU
CVE-2025-46711 A-425907218* רחב PowerVR-GPU
CVE-2025-58410 A-429381687* רחב PowerVR-GPU

רכיבים של MediaTek

נקודות החולשה האלה משפיעות על רכיבי MediaTek, ופרטים נוספים זמינים ישירות מ-MediaTek. הערכת חומרת הבעיות האלה מסופקת ישירות על ידי MediaTek.

CVE הפניות למקור חיצוני מידת החומרה רכיב משנה
CVE-2025-20725 A-442288325
M-MOLY01671924*		 רחב שירות IMS
CVE-2025-20726 A-442288324
M-MOLY01672598*		 רחב מודם
CVE-2025-20727 A-442295794
M-MOLY01672601*		 רחב מודם
CVE-2025-20730 A-442288321
M-ALPS10068463*		 רחב כלי לטעינה מראש
CVE-2025-20750 A-445777810
M-MOLY01661199*		 רחב מודם
CVE-2025-20751 A-445793670
M-MOLY01661195*		 רחב מודם
CVE-2025-20752 A-445793668
M-MOLY01270690*		 רחב מודם
CVE-2025-20753 A-445785195
M-MOLY01689252*		 רחב מודם
CVE-2025-20754 A-445785196
M-MOLY01689251*		 רחב מודם
CVE-2025-20755 A-445793671
M-MOLY00628396*		 רחב מודם
CVE-2025-20756 A-445793666
M-MOLY01673749*		 רחב מודם
CVE-2025-20757 A-445775439
M-MOLY01673751*		 רחב מודם
CVE-2025-20758 A-445775438
M-MOLY01673755*		 רחב מודם
CVE-2025-20759 A-445775437
M-MOLY01673760*		 רחב מודם
CVE-2025-20790 A-445775436
M-MOLY01677581*		 רחב מודם
CVE-2025-20791 A-445785199
M-MOLY01661189*		 רחב מודם
CVE-2025-20792 A-446071856
M-MOLY01717526*		 רחב מודם

רכיבי Unisoc

נקודות החולשה האלה משפיעות על רכיבי Unisoc, ופרטים נוספים זמינים ישירות מ-Unisoc. הערכת חומרת הבעיות האלה מסופקת ישירות על ידי Unisoc.

CVE הפניות למקור חיצוני מידת החומרה רכיב משנה
CVE-2025-31717 A-435065128
U-3037449*		 רחב מודם
CVE-2025-31718 A-435076697
U-3037571*		 רחב מודם
CVE-2025-3012 A-448234052
U-3080225*		 רחב מודם
CVE-2025-11131 A-448236351
U-3079792*		 רחב מודם
CVE-2025-11132 A-448253912
U-3080198*		 רחב מודם
CVE-2025-11133 A-448236352
U-3080202*		 רחב מודם
CVE-2025-61607 A-448276915
U-3080265*		 רחב מודם
CVE-2025-61608 A-448275674
U-3080269*		 רחב מודם
CVE-2025-61609 A-448277338
U-3080271*		 רחב מודם
CVE-2025-61610 A-448275675
U-3080273*		 רחב מודם
CVE-2025-61617 A-448253913
U-3080233*		 רחב מודם
CVE-2025-61618 A-448277334
U-3080237*		 רחב מודם
CVE-2025-61619 A-448276914
U-3080263*		 רחב מודם

רכיבים של Qualcomm

נקודות החולשה האלה משפיעות על רכיבים של Qualcomm, והן מתוארות בפירוט בחדשות האבטחה או בהתראת האבטחה המתאימות של Qualcomm. הערכת חומרת הבעיות האלה מסופקת ישירות על ידי Qualcomm.

CVE הפניות למקור חיצוני מידת החומרה רכיב משנה
CVE-2025-47351 A-430043154
QC-CR#4115551		 רחב בועה
CVE-2025-47354 A-430042895
QC-CR#4090786		 רחב בועה
CVE-2025-47382 A-442620646
QC-CR#4152954		 רחב תוכנת אתחול

רכיבים של Qualcomm שהקוד שלהם סגור

נקודות החולשה האלה משפיעות על רכיבים של Qualcomm שהקוד שלהם סגור, והן מתוארות בפירוט נוסף בפרסום או באזהרת האבטחה הרלוונטיים של Qualcomm. הערכת חומרת הבעיות האלה מסופקת ישירות על ידי Qualcomm.

CVE הפניות למקור חיצוני מידת החומרה רכיב משנה
CVE-2025-47319 A-421905250* קריטית רכיב שהקוד שלו סגור
CVE-2025-47372 A-442619421* קריטית רכיב שהקוד שלו סגור
CVE-2025-27053 A-409046800* רחב רכיב שהקוד שלו סגור
CVE-2025-27054 A-409047704* רחב רכיב שהקוד שלו סגור
CVE-2025-27070 A-415773046* רחב רכיב שהקוד שלו סגור
CVE-2025-27074 A-415772654* רחב רכיב שהקוד שלו סגור
CVE-2025-47323 A-421904320* רחב רכיב שהקוד שלו סגור
CVE-2025-47370 A-436259460* רחב רכיב שהקוד שלו סגור

תשובות לשאלות נפוצות

בקטע הזה תמצאו תשובות לשאלות נפוצות שיכולות לעלות אחרי שתקראו את פרטי העדכון הזה.

1. איך אפשר לבדוק אם המכשיר שלי קיבל את העדכון שפותר את הבעיות האלה?

במאמר איך בודקים ומעדכנים את גרסת ה-Android שמותקנת במכשיר מוסבר איך בודקים את רמת תיקון האבטחה במכשיר.

  • תיקוני אבטחה מרמה 2025-12-01 ואילך פותרים את כל הבעיות שמשויכות להם.
  • תיקוני אבטחה מרמה 2025-12-05 ואילך פותרים את כל הבעיות שמשויכות להם וגם את אלה שמשויכות לתיקונים קודמים.

יצרני מכשירים שכוללים את העדכונים האלה צריכים להגדיר את רמת המחרוזת של התיקון לערך:

  • [ro.build.version.security_patch]:[2025-12-01]
  • [ro.build.version.security_patch]:[2025-12-05]

במכשירים מסוימים עם Android מגרסה 10 ואילך, לעדכון של מערכת Google Play יהיה מחרוזת תאריך שתואמת לרמה של תיקוני האבטחה מ-2025-12-01. במאמר הזה מוסבר איך להתקין עדכוני אבטחה.

2. למה בחדשות האבטחה האלה יש שתי רמות של תיקוני אבטחה?

בחדשות האבטחה האלה יש שתי רמות של תיקוני אבטחה, כדי ששותפי Android יוכלו לתקן במהירות רבה יותר קבוצת משנה של נקודות חולשה שדומות בכל מכשירי Android. אנחנו ממליצים לשותפי Android לתקן את כל הבעיות שמפורטות בעדכון הזה ולהשתמש ברמת תיקוני האבטחה העדכנית ביותר.

  • מכשירים שמשתמשים בתיקוני אבטחה ברמה 2025-12-01 חייבים לכלול את כל הבעיות שמשויכות לרמת תיקוני האבטחה הזו, וגם תיקונים לכל הבעיות שדווחו בחדשות אבטחה קודמות.
  • במכשירים שבהם רמת תיקוני האבטחה היא 2025-12-05 או חדשה יותר, צריך לכלול את כל התיקונים הרלוונטיים בחדשות האבטחה האלה (ובחדשות קודמות).

אנחנו ממליצים לשותפים לאגד את התיקונים לכל הבעיות שהם מטפלים בהן בעדכון אחד.

3. מה המשמעות של הערכים בעמודה סוג?

הערכים בעמודה סוג בטבלת הפרטים של נקודות החולשה מתייחסים לסיווג שלהן.

קיצור ההגדרה
RCE הרצת קוד מרחוק
EoP רמת הרשאה גבוהה יותר
ID חשיפת מידע
DoS התקפת מניעת שירות
N/A אין סיווג

‫4. מה המשמעות של הערכים בעמודה הפניות למקורות חיצוניים?

מידע על הערכים בעמודה הפניות למקורות חיצוניים בטבלה של פרטי נקודות החולשה: יש מקרים שבהם לערך יש תחילית שמציינת לאיזה ארגון משויך מקור המידע החיצוני.

תחילית מקור המידע החיצוני
A-‎ מזהה באג ב-Android
QC- מספר סימוכין של Qualcomm
M-‎ מספר סימוכין של MediaTek
N- מספר סימוכין של NVIDIA
B-‎ מספר סימוכין של Broadcom
U- מספר סימוכין של UNISOC

5. מה המשמעות של הכוכבית (*) לצד מזהה הבאג ב-Android בעמודה הפניות למקור חיצוני?

אם הנתונים על הבעיה לא פורסמו לציבור הרחב, יש סימן * לצד מזהה ההפניה המתאים. העדכון לבעיה הזו בדרך כלל כלול במנהלי ההתקנים הבינאריים העדכניים ביותר למכשירי Pixel שזמינים באתר המפתחים של Google.

6. למה חלק מנקודות החולשה מפורטות כאן וחלק בחדשות האבטחה של מכשירים או שותפים, כמו החדשות של Pixel?

נקודות חולשה באבטחה שמתועדות בעדכון האבטחה הדחוף הזה נדרשות כדי להצהיר על רמת תיקוני האבטחה העדכנית ביותר במכשירי Android. אין צורך לתעד שם נקודות חולשה נוספות בשביל זה. יצרנים של מכשירי Android וערכות שבבים עשויים לפרסם גם פרטים על פגיעויות אבטחה שספציפיות למוצרים שלהם, כמו Google,‏ Huawei,‏ LGE,‏ Motorola,‏ Nokia או Samsung.

גרסאות

הגרסה תאריך הערות
1.0 ‫1 בדצמבר 2025 תאריך פרסום העדכון
1.1 ‫4 בדצמבר 2025 הודעת האבטחה עודכנה ונוספו אליה קישורים ל-AOSP
‫1.2 ‫17 בדצמבר 2025 הוסרו CVE-2025-48600 ו-CVE-2025-48615 מ-ASB#2025-12 בגלל תיקון לא מלא. יכול להיות שהשותפים ישמרו את התיקונים האלה. תיקון מעודכן יידרש כחלק מעדכון אבטחה עתידי של Android.
‫1.3 ‫8 בינואר 2026 הוסר CVE-2025-48631 בגלל תיקון לא מלא ל-Android 16 25Q4. כל שאר הגרסאות של Android תקינות. השותפים יכולים לשמור את התיקון הזה. תיקון מעודכן יידרש כחלק מ-ASB#2026-03 Android Security Bulletin.
‫1.3 ‫10 בפברואר 2026 ‫CVE-2025-48612 A-429417453 יוסר מ-ASB#2025-12 בגלל רגרסיה אפשרית שעלולה להגביל את היכולת להחליף אפליקציות תשלום שמוגדרות כברירת מחדל לתשלומים ללא מגע. השותפים יכולים לשמור את התיקון הזה. תיקון מעודכן יידרש כחלק מפרסום עתידי של חדשות האבטחה של Android.
1.4 ‫3 במרץ 2026 ‫CVE-2025-48565 A-407763772 יוסר מ-ASB#2025-12 בגלל תיקון לא מלא. השותפים יכולים לשמור את התיקון הזה. תיקון מעודכן יידרש כחלק מפרסום עתידי של חדשות האבטחה של Android.
1.5 ‫6 במרץ 2026 הסרנו את CVE-2025-48566 ו-CVE-2025-48564 כי יש להם תיקון משותף עם CVE-2025-48565.