بولتن امنیتی اندروید - مه ۲۰۲۶

این بولتن امنیتی اندروید حاوی جزئیاتی از آسیب‌پذیری‌های امنیتی است که دستگاه‌های اندروید را تحت تأثیر قرار می‌دهند. سطوح وصله امنیتی 2026-05-01 یا بالاتر، همه این مشکلات را برطرف می‌کنند. برای یادگیری نحوه بررسی سطح وصله امنیتی دستگاه، به بخش «بررسی و به‌روزرسانی نسخه اندروید» مراجعه کنید.

ظرف ۴۸ ساعت پس از انتشار اولیه این بولتن، ما وصله‌های کد منبع مربوطه را در مخزن پروژه متن‌باز اندروید (AOSP) منتشر خواهیم کرد. سپس این بولتن را با لینک‌های AOSP اصلاح خواهیم کرد.

مشکل مطرح‌شده در این بولتن، یک آسیب‌پذیری امنیتی بحرانی در مؤلفه‌ی سیستم است که می‌تواند منجر به اجرای کد از راه دور (نزدیک/مجاور) به عنوان کاربر shell بدون نیاز به امتیازات اجرایی اضافی شود. برای بهره‌برداری نیازی به تعامل با کاربر نیست. ارزیابی شدت بر اساس تأثیری است که بهره‌برداری از این آسیب‌پذیری می‌تواند بر روی دستگاه آسیب‌دیده داشته باشد، با فرض اینکه اقدامات کاهش‌دهنده‌ی آسیب‌پذیری پلتفرم و سرویس برای اهداف توسعه غیرفعال شده باشند یا با موفقیت دور زده شوند.

برای جزئیات بیشتر در مورد محافظت‌های پلتفرم امنیتی اندروید و Google Play Protect که امنیت پلتفرم اندروید را بهبود می‌بخشند، به بخش راهکارهای کاهش خطرات اندروید و Google Play Protect مراجعه کنید.

ما حداقل یک ماه قبل از انتشار بولتن، شرکای اندرویدی خود را از تمام مشکلات مطلع می‌کنیم.

راهکارهای کاهش خطرات اندروید و سرویس‌های گوگل

این خلاصه‌ای از راهکارهای کاهش خطرات ارائه شده توسط پلتفرم امنیتی اندروید و سرویس‌های محافظتی مانند Google Play Protect است. این قابلیت‌ها احتمال سوءاستفاده موفقیت‌آمیز از آسیب‌پذیری‌های امنیتی در اندروید را کاهش می‌دهند.

• سوءاستفاده از بسیاری از مشکلات در اندروید با پیشرفت‌های نسخه‌های جدیدتر پلتفرم اندروید دشوارتر شده است. ما به همه کاربران توصیه می‌کنیم در صورت امکان، آخرین نسخه اندروید را به‌روزرسانی کنند.
• تیم امنیتی اندروید به طور فعال از طریق Google Play Protect سوءاستفاده‌ها را رصد می‌کند و به کاربران در مورد برنامه‌های بالقوه مضر هشدار می‌دهد. Google Play Protect به طور پیش‌فرض در دستگاه‌هایی با سرویس‌های موبایل گوگل فعال است و به ویژه برای کاربرانی که برنامه‌ها را از خارج از Google Play نصب می‌کنند، بسیار مهم است.

جزئیات آسیب‌پذیری سطح وصله امنیتی ۲۰۲۶-۰۵-۰۱

در بخش‌های زیر، جزئیات مربوط به هر یک از آسیب‌پذیری‌های امنیتی که در سطح وصله 2026-05-01 اعمال می‌شوند را ارائه می‌دهیم. آسیب‌پذیری‌ها بر اساس مؤلفه‌ای که تحت تأثیر قرار می‌دهند، گروه‌بندی شده‌اند. مشکلات در جداول زیر شرح داده شده‌اند و شامل شناسه CVE، منابع مرتبط، نوع آسیب‌پذیری ، شدت و نسخه‌های به‌روزرسانی‌شده AOSP (در صورت وجود) می‌شوند. در صورت وجود، تغییر عمومی که به مشکل پرداخته است را به شناسه اشکال، مانند فهرست تغییرات AOSP، پیوند می‌دهیم. هنگامی که چندین تغییر مربوط به یک اشکال واحد باشد، ارجاعات اضافی به اعداد بعد از شناسه اشکال پیوند داده می‌شوند. دستگاه‌های دارای اندروید 10 و بالاتر ممکن است به‌روزرسانی‌های امنیتی و همچنین به‌روزرسانی‌های سیستم Google Play را دریافت کنند.

سیستم

آسیب‌پذیری موجود در این بخش می‌تواند منجر به اجرای کد از راه دور (نزدیک/مجاور) به عنوان کاربر shell بدون نیاز به امتیازات اجرایی اضافی شود. برای بهره‌برداری نیازی به تعامل با کاربر نیست.

به‌روزرسانی‌های سیستم گوگل پلی

مسائل زیر در اجزای پروژه Mainline گنجانده شده است.

سوالات و پاسخ‌های رایج

این بخش به سوالات متداولی که ممکن است پس از خواندن این بولتن برای شما پیش بیاید، پاسخ می‌دهد.

۱. چگونه می‌توانم تشخیص دهم که آیا دستگاه من برای رفع این مشکلات به‌روزرسانی شده است یا خیر؟

برای آشنایی با نحوه بررسی سطح وصله امنیتی دستگاه، به بخش «بررسی و به‌روزرسانی نسخه اندروید» مراجعه کنید.

• وصله‌های امنیتی سطح 2026-05-01 یا بالاتر، تمام مشکلات مرتبط با سطح وصله امنیتی 2026-05-01 را برطرف می‌کنند.

تولیدکنندگان دستگاه‌هایی که این به‌روزرسانی‌ها را ارائه می‌دهند، باید سطح رشته پچ را روی موارد زیر تنظیم کنند:

• [ro.build.version.security_patch]:[2026-05-01]

برای برخی از دستگاه‌های دارای اندروید ۱۰ یا بالاتر، به‌روزرسانی سیستم گوگل پلی دارای رشته تاریخی است که با سطح وصله امنیتی ۲۰۲۶-۰۵-۰۱ مطابقت دارد. لطفاً برای جزئیات بیشتر در مورد نحوه نصب به‌روزرسانی‌های امنیتی به این مقاله مراجعه کنید.

۲. چرا این بولتن دو سطح وصله امنیتی دارد؟

این بولتن دارای دو سطح وصله امنیتی است تا شرکای اندروید انعطاف‌پذیری لازم را برای رفع سریع‌تر زیرمجموعه‌ای از آسیب‌پذیری‌هایی که در تمام دستگاه‌های اندروید مشابه هستند، داشته باشند. از شرکای اندروید درخواست می‌شود که تمام مشکلات موجود در این بولتن را برطرف کرده و از آخرین سطح وصله امنیتی استفاده کنند.

• دستگاه‌هایی که از سطح وصله امنیتی 2026-05-01 استفاده می‌کنند، باید تمام مشکلات مرتبط با آن سطح وصله امنیتی و همچنین رفع مشکلات گزارش شده در بولتن‌های امنیتی قبلی را شامل شوند.

به شرکا توصیه می‌شود که اصلاحات مربوط به همه مشکلاتی که به آنها می‌پردازند را در یک به‌روزرسانی واحد ارائه دهند.

۳. منظور از ورودی‌های ستون Type چیست؟

ورودی‌های ستون نوع جدول جزئیات آسیب‌پذیری، طبقه‌بندی آسیب‌پذیری امنیتی را نشان می‌دهند.

۴. منظور از ورودی‌های ستون منابع چیست؟

ورودی‌های زیر ستون References در جدول جزئیات آسیب‌پذیری ممکن است حاوی پیشوندی باشند که سازمانی را که مقدار مرجع به آن تعلق دارد، مشخص می‌کند.

۵. علامت * در کنار شناسه اشکال اندروید در ستون منابع به چه معناست؟

مشکلاتی که به صورت عمومی در دسترس نیستند، علامت * در کنار شناسه مرجع مربوطه دارند. به‌روزرسانی مربوط به آن مشکل معمولاً در جدیدترین درایورهای باینری برای دستگاه‌های پیکسل موجود در سایت توسعه‌دهندگان گوگل موجود است.

۶. چرا آسیب‌پذیری‌های امنیتی بین این بولتن و بولتن‌های امنیتی دستگاه/شریک، مانند بولتن پیکسل، تقسیم شده‌اند؟

آسیب‌پذیری‌های امنیتی که در این بولتن امنیتی مستند شده‌اند، برای اعلام آخرین سطح وصله امنیتی در دستگاه‌های اندروید الزامی هستند. آسیب‌پذیری‌های امنیتی اضافی که در بولتن‌های امنیتی دستگاه/شریک مستند شده‌اند، برای اعلام سطح وصله امنیتی الزامی نیستند. تولیدکنندگان دستگاه‌ها و چیپست‌های اندروید نیز ممکن است جزئیات آسیب‌پذیری امنیتی خاص محصولات خود، مانند گوگل ، هواوی ، ال‌جی ، موتورولا ، نوکیا یا سامسونگ ، را منتشر کنند.

نسخه‌ها