Bản cập nhật Android 6/2026 của Google vá 124 lỗ hổng, trong đó có một lỗ hổng đang bị khai thác tích cực
Google đã phát hành các bản vá cho 124 lỗ hổng bảo mật ảnh hưởng đến hệ điều hành Android của hãng trong tháng 6 năm 2026, bao gồm một lỗ hổng nghiêm trọng trong thành phần Framework đang bị khai thác tích cực.
Lỗ hổng bảo mật này được theo dõi với mã CVE-2025-48595 (điểm CVSS: 8.4), được mô tả là một trường hợp leo thang đặc quyền mà không cần bất kỳ tương tác nào từ người dùng. Lỗ hổng này ảnh hưởng đến các thiết bị chạy phiên bản Android 14, 15, 16 và 16 QPR2 (Quarterly Platform Release 2).
“Theo mô tả của lỗ hổng trên CVE.org, tại nhiều vị trí trong mã nguồn có khả năng đạt được thực thi mã do lỗi tràn số nguyên (integer overflow). Điều này có thể dẫn đến leo thang đặc quyền cục bộ (local privilege escalation) mà không cần bất kỳ quyền thực thi bổ sung nào. Việc khai thác cũng không yêu cầu sự tương tác từ người dùng.”
Google đã thừa nhận có những dấu hiệu cho thấy lỗ hổng CVE-2025-48595 có thể đang bị "khai thác hạn chế và có mục tiêu". Như thường lệ, gã khổng lồ công nghệ này không tiết lộ bất kỳ thông tin cụ thể nào về người đứng sau hoạt động này, các mục tiêu bị ảnh hưởng và quy mô của những nỗ lực đó.
Tuy nhiên, những lỗ hổng tương tự trước đây đã bị các nhà cung cấp phần mềm gián điệp thương mại (commercial spyware vendors) vũ khí hóa để nhắm mục tiêu vào các cá nhân nổi tiếng (high-profile) trong các cuộc tấn công có chủ đích cao.
Ngoài ra, một số lỗ hổng bảo mật trong thành phần System đã được vá, trong đó lỗ hổng nghiêm trọng nhất có thể dẫn đến leo thang đặc quyền cục bộ mà không cần thêm quyền thực thi nào khác.
Google đã phát hành hai set bản vá - bản vá bảo mật cấp độ 2026-06-01 và 2026-06-05 - trong đó bản vá thứ hai chứa tất cả các bản sửa lỗi từ set đầu tiên, cùng với các bản vá cho kernel và các thành phần chipset của bên thứ ba từ Imagination Technologies, MediaTek, Qualcomm và Unisoc.
Update
Cơ quan CISA Hoa Kỳ, vào ngày 2 tháng 6 năm 2026, đã thêm CVE-2025-48595 vào danh mục Lỗ hổng bị khai thác đã biết (KEV), yêu cầu các cơ quan thuộc nhánh hành pháp dân sự liên bang (FCEB) phải khắc phục lỗ hổng này trước ngày 5 tháng 6 năm 2026.
