הרכיב שבו יושבת החולשה הזאת נמצא כמעט בכל מכשיר גלקסי, והוא עושה דבר שהטלפון עושה עשרות פעמים ביום: פותח תמונה. לפי הרשומה, הספרייה libimagecodec.quram.so כותבת מחוץ לגבולות הזיכרון, ותוקף מרוחק יכול לנצל את זה כדי להריץ קוד על המכשיר. הציון 8.8, והתיקון נכלל בעדכון האבטחה של סמסונג לאפריל 2025.
מה החולשה?
תמונה אינה רק פיקסלים. היא קובץ בעל מבנה, וכדי להציג אותה התוכנה קוראת את המבנה הזה וממלאת לפיו אזורי זיכרון שהקצתה מראש. ההקצאה נעשית לפי הגודל שהקובץ מצהיר עליו.
וכאן מתחילה הבעיה. אם הקובץ מצהיר על דבר אחד ומכיל דבר אחר, והתוכנה אינה בודקת את הפער, היא ממשיכה לכתוב גם אחרי שנגמר השטח שהוקצה. לסוג הזה קוראים כתיבה מחוץ לתחום הזיכרון. מה שנמצא מעבר לגבול אינו שטח ריק אלא נתונים אחרים של התוכנית, וכשתוקף שולט במדויק במה שנכתב שם, הוא יכול לגרום לתוכנית להמשיך לפי מה שהוא כתב ולא לפי מה שהמתכנת התכוון.
הרשומה מציינת שנדרשת פעולה כלשהי מצד המשתמש. כלומר התמונה צריכה להגיע אל המכשיר ולהיפתח בו. מה שכן, פתיחת תמונה אינה פעולה שמישהו חושב עליה פעמיים.
מי מושפע?
הרשומה מסמנת מכשירי סמסונג עם אנדרואיד 13, 14 ו-15, בגרסאות שלפני עדכון האבטחה שסמסונג מכנה SMR Apr-2025 Release 1.
זו אחת החולשות הבודדות בקטלוג שנוגעות ישירות לטלפון שבכיס ולא לשרת בארון תקשורת, ובישראל סמסונג היא מהיצרניות הנפוצות ביותר. מה שכן, התיקון יצא באפריל 2025, ומכשיר שמקבל עדכונים סדירים קיבל אותו מזמן.
הקבוצה שצריכה לשים לב היא אחרת: מי שמחזיק מכשיר ישן שכבר אינו מקבל עדכוני אבטחה, או מכשיר שההתקנה של העדכונים בו נדחתה שוב ושוב.
האם מנוצלת בפועל?
כן. ב-10 בנובמבר 2025 צירפה סוכנות הסייבר האמריקאית CISA את החולשה לקטלוג ה-KEV, הרשימה שמרכזת חולשות שיש עליהן ראיה לניצול בשטח, עם מועד טיפול לגופים הפדרליים בארצות הברית ב-1 בדצמבר 2025.
התאריכים כאן מספרים סדר מעניין. סמסונג פרסמה את התיקון באפריל 2025, הרשומה ב-NVD פורסמה רק ב-12 בספטמבר 2025, והכניסה לקטלוג הגיעה בנובמבר. כלומר התיקון הגיע הרבה לפני שהחולשה קיבלה תשומת לב ציבורית, וזה מצב נפוץ יותר ממה שנדמה.
בין המקורות מופיע מחקר של Unit 42 של Palo Alto Networks.
מה עושים?
בדקו את תאריך עדכון האבטחה בטלפון. במכשירי גלקסי הוא מופיע בהגדרות, במסך של עדכון התוכנה, והוא מוצג כתאריך ולא כמספר גרסה. אם התאריך שם קודם לאפריל 2025, החולשה הזאת פתוחה במכשיר.
אם ממתין עדכון, התקינו אותו. זה כל התיקון, ואין כאן הגדרה שאפשר לשנות במקומו.
ואם המכשיר כבר אינו מקבל עדכוני אבטחה מסמסונג, זו נקודה שכדאי לדעת עליה בפני עצמה. עמוד עדכוני האבטחה של סמסונג מפרט מה נכלל בעדכון של אפריל 2025. מכשיר שאינו מקבל את העדכונים האלה אינו מקבל תיקונים, וזה נכון לחולשה הזאת ולכל מה שיבוא אחריה.
עד אז, מה שבידיים שלכם הוא זהירות עם קובצי תמונה שמגיעים ממקורות שאינכם מכירים, כי לפי הרשומה נדרשת פעולה של המשתמש כדי שהניצול יעבוד.