Смартфон OnePlus 15 с последней версией OxygenOS может быть взломан вредоносным приложением, установленным владельцем, которое не запрашивает никаких специальных разрешений. Исследователь Расмус Морац связал две уязвимости в программном обеспечении OnePlus, чтобы получить root-доступ, самый высокий уровень контроля над телефоном на базе Android.
OnePlus сообщил ему, что те же уязвимости затрагивают многие другие его устройства и устройства OPPO, хотя не уточнил, какие именно.
OnePlus подтвердил обе уязвимости в мае. В том же ответе компания сообщила Морацу, что только она решает, когда сделать уязвимость публичной, и предупредила, что публикация без ее разрешения может привести к юридической ответственности. Тем не менее, он опубликовал информацию 24 сентября, когда OnePlus еще не выпустил исправление.
OnePlus изложил свою позицию в ответе, который Морац опубликовал полностью. Компания заявила, что исправление запланировано, но утверждала "исключительное право на раскрытие уязвимости" и сообщила ему, что даже после выхода исправления исследователи не могут публиковать полные технические детали самостоятельно.
Компания утверждала, что европейские правила кибербезопасности требуют от производителей принимать и исправлять отчеты, но не позволяют исследователям раскрывать их без согласия производителя. Она предупредила, что если он опубликует без разрешения, OnePlus "будет преследовать соответствующую юридическую ответственность в соответствии с применимыми законами."
Как работает атака
Морац обнаружил первую уязвимость в службе OnePlus под названием AtlasService, которая собирает данные для отладки, работает с правами root и принимает вызовы от любого приложения без проверки, кто звонит.
Сформированный вызов достигает инструмента отладки OnePlus, который принимает текст приложения и без проверки помещает его в системную команду. Это дает приложению root-доступ, но только в ограниченной системной зоне под названием dumpstate, которая не может выполнять все функции, доступные root.
Вторая уязвимость завершает работу. OnePlus поставляет другую службу, аппаратный помощник под названием olc2, с командой, которая выполняет любую команду оболочки, которую она получает. Единственное ограничение заключается в том, что вызывающий должен уже иметь права root, что и предоставляет первая уязвимость.
На этот раз команда выполняется в зоне, которая предоставляет все низкоуровневые привилегии Linux, включая возможность загружать код ядра, что дает приложению контроль над устройством на системном уровне.
Кто пострадал и что вы можете сделать
Атака локальная. Вредоносное приложение должно быть сначала установлено и запущено на телефоне, поэтому его нельзя запустить через интернет. Но как только оно установлено, приложению не нужны разрешения, и оно не показывает пользователю никаких запросов, и оно работало на стандартном телефоне, который Морац не модифицировал.
Нет доказательств того, что кто-либо использовал эти уязвимости в реальной атаке.
Морац также подтвердил атаку на более старом OnePlus 12 Pro и ожидает, что та же проблема будет присутствовать в OxygenOS 16 в целом. OnePlus и OPPO строят свои телефоны на общей программной платформе, поэтому предупреждение OnePlus охватывало оба бренда.
На момент раскрытия информации Мораца OnePlus не назначил ни одного CVE и не выпустил исправление, и не было найдено никаких рекомендаций от OnePlus, указывающих на уязвимости. До выхода исправления единственной практической защитой является то, что необходимо для начала атаки: устанавливайте приложения только из источников, которым вы доверяете, потому что атака не может начаться без вредоносного приложения на телефоне.
По словам Мораца, раскрытие информации заняло около пяти месяцев:
18 апреля 2026 года: сообщил о обеих уязвимостях OnePlus.
20 мая: OnePlus подтвердил их, заявил о единственном контроле над раскрытием и предупредил о юридической ответственности, если он опубликует.
22 июня: OnePlus дал обновление о своем исправлении и попросил его подождать, и он согласился не публиковать до 17 сентября.
20 июля и 11 сентября: он запрашивал обновления и не получил ответа.
24 сентября: он опубликовал.
Отдельно это не единственный недавний случай, когда установленное приложение получало root-доступ на флагманских телефонах Android.
В августе Лука Маар, исследователь компании Calif, продемонстрировал другую технику, которая позволила приложению без разрешений получить root-доступ на заблокированных телефонах с последней прошивкой от Samsung, Xiaomi, OPPO, OnePlus и Realme, атакуя код, который производители добавляют в Android.
OnePlus также медленно отвечал исследователям ранее. В 2025 году Rapid7 сообщила о другой уязвимости OxygenOS, которая позволяла любому приложению читать текстовые сообщения пользователя, и заявила, что OnePlus не ответил, пока исследование не стало публичным.
Считаете эту статью интересной? Подписывайтесь на нас в Google News, Twitter и LinkedIn, чтобы читать больше эксклюзивного контента, который мы публикуем.