أعلنت جوجل عن ثغرة أمنية عالية الخطورة في أحد المكونات المفتوحة المصدر التابعة لشركة كوالكوم والمستخدمة في أجهزة أندرويد. الثغرة، المسجلة تحت الرمز CVE-2026-21385 بدرجة خطورة (CVSS 7.8)، تتعلق بخلل في مكوّن الرسوميات يؤدي إلى قراءة زائدة في الذاكرة (Buffer Over-read) نتيجة إدخال بيانات من المستخدم دون التحقق من المساحة المتاحة في الذاكرة، وهو ما وصفته كوالكوم بأنه تجاوز عددي (Integer Overflow).
استغلال الثغرة وتوقيت الكشف
كوالكوم أوضحت أن الثغرة أُبلغت بها عبر فريق أمن أندرويد في غوغل بتاريخ 18 ديسمبر 2025، وتم إخطار العملاء بها في 2 فبراير 2026. ورغم عدم توفر تفاصيل دقيقة حول كيفية الاستغلال، أكدت غوغل في نشرتها الأمنية لشهر مارس 2026 أن هناك مؤشرات على أن الثغرة يتم استغلالها بشكل محدود وموجّه بالفعل.
تحديثات جوجل ومعالجة الثغرات
تحديث مارس 2026 من جوجل تضمن إصلاحات لـ 129 ثغرة أمنية، من بينها ثغرة حرجة في مكوّن النظام (CVE-2026-0006) قد تؤدي إلى تنفيذ تعليمات برمجية عن بُعد دون الحاجة إلى صلاحيات إضافية أو تدخل المستخدم. هذا العدد الكبير من الإصلاحات يأتي مقارنة بثغرة واحدة فقط تمت معالجتها في يناير 2026، وعدم وجود أي إصلاحات في فبراير الماضي.
كما شملت التحديثات إصلاحات لعدة ثغرات حرجة أخرى، منها:
- ثغرة تصعيد صلاحيات في إطار العمل (CVE-2026-0047).
- ثغرة حرمان من الخدمة (DoS) في النظام (CVE-2025-48631).
- سبع ثغرات تصعيد صلاحيات في مكونات النواة (Kernel) مثل: CVE-2024-43859، CVE-2026-0037، CVE-2026-0038، CVE-2026-0027، CVE-2026-0028، CVE-2026-0030، وCVE-2026-0031.
مستويات التصحيح وتنوع الموردين
النشرة الأمنية تضمنت مستويين للتصحيح: 2026-03-01 و2026-03-05، وذلك لإتاحة مرونة أكبر لشركاء أندرويد في معالجة الثغرات على الأجهزة المختلفة بسرعة أكبر. المستوى الثاني شمل إصلاحات لمكونات النواة، بالإضافة إلى تحديثات من شركات متعددة مثل Arm، Imagination Technologies، MediaTek، Qualcomm، وUnisoc، مما يعكس حجم التحديات الأمنية التي تواجه نظام أندرويد في ظل تعدد الموردين والمكونات.
