Android 0-click RCE açığı CVE-2025-48593: Google kritik güvenlik uyarısı yayımladı

Google, System bileşeninde keşfedilen ve kullanıcı müdahalesi olmadan tetiklenebilen kritik bir uzaktan kod çalıştırma (RCE) zafiyetini CVE-2025-48593 (A-374746961) olarak duyurdu. Açığın etkilendiği sürümler Android 13, 14, 15 ve 16 olarak açıklandı.

Zafiyetin Teknik Ayrıntıları
Google tarafından yayımlanan özet rapora göre, açığın kök nedeni hatalı input-parsing sürecinde oluşan bellek bozulması (heap/stack corruption) olarak değerlendiriliyor. Bu durum, kötü niyetli verilerin sistem servisleri veya arka plan işlemleri aracılığıyla işlenmesi sırasında tetiklenebiliyor.

Saldırı Vektörleri ve Etki Alanı
Saldırganların özel hazırlanmış paketler veya sideload edilmiş kötü amaçlı APK’lar kullanarak cihazlarda uzaktan kod çalıştırma yetkisi elde edebildiği bildirildi. Açığın, IPC/Binder çağrıları, medya ve ağ parser’ları gibi arka plan bileşenleri üzerinden tetiklenebilmesi dikkat çekiyor.

İlgili Diğer Zafiyet: CVE-2025-48581
Google ayrıca Android 16 sürümünde tespit edilen yüksek riskli bir ayrıcalık yükseltme (EoP) zafiyetini CVE-2025-48581 (A-428945391) koduyla duyurdu. Bu zafiyetin RCE açığıyla birlikte zincirleme olarak kullanılabileceği değerlendiriliyor.

Kullanıcılara Uyarı ve Güvenlik Önerileri
Uzmanlar, bu tür “0-click” saldırıların kullanıcıdan herhangi bir etkileşim gerektirmediği için özellikle tehlikeli olduğunu belirtiyor. Google, kullanıcıların resmî güvenlik güncellemelerini beklemeden yüklemelerini, ayrıca bilinmeyen kaynaklardan uygulama yüklememelerini önerdi.

Android 0-click RCE açığı CVE-2025-48593: Google kritik güvenlik uyarısı yayımladı

Ajans Expres Gazetesi