Nová chyba Androidu dokáže znefunkčniť telefón. Stačí nainštalovať aplikáciu, ktorú ani nemusíš otvoriť

Bezpečnostní výskumníci objavili chybu Androidu, pomocou ktorej dokázali zablokovať telefón samotnou inštaláciou aplikácie. Tá pritom neobsahovala žiadny spustiteľný programový kód a nevyžadovala žiadne oprávnenia. Telefón sa napriek tomu začal opakovane reštartovať a používateľ sa už nedostal na domovskú obrazovku. Nepomohol ani núdzový režim, ktorý sa bežne používa na odstránenie problémových aplikácií.

Zraniteľnosť dostala názov GhostMap a 5. novembra 2026 ju podrobne opísali výskumníci z Bitdefender Labs. Podarilo sa im zneužiť chybu v spôsobe, akým Android spracúva súbory nainštalovaných aplikácií. Na zablokovanie telefónu stačilo, aby systém automaticky načítal špeciálne upravený súbor. V najhoršom prípade môže používateľovi zostať iba obnovenie továrenských nastavení, pri ktorom príde o nezálohované dáta. Výskumníci zatiaľ nezaznamenali, že by niekto túto chybu cielene zneužíval pri skutočných útokoch.

Výskumníci skúmali bankový malvér. Namiesto neho objavili chybu priamo v Androide

Na GhostMap narazili 12. augusta 2026 pri skúmaní bankového malvéru. Zachytená aplikácia mala do telefónu dostať ďalší škodlivý softvér, podobne ako pri malvéri CyberDakaIt. Pri pokuse o jej inštaláciu však opakovane padal emulátor Androidu, v ktorom ju testovali. Aplikáciu sa nepodarilo ani nainštalovať, nieto ešte spustiť.

Výskumníci zistili, že problém spôsobuje upravená štruktúra súboru APK. Autor malvéru zrejme pozmenil údaje v jeho ZIP archíve, aby sťažil bezpečnostnú analýzu. Android si však s takto pripraveným súborom nedokázal poradiť a pri jeho čítaní príslušný proces spadol. Na vyvolanie chyby pritom nebolo potrebné spustiť samotný malvér.

Jediný upravený súbor dokáže vyradiť kľúčový proces Androidu

Výskumníci Bitdefenderu následne vytvorili aplikáciu, ktorá dokázala chybu cielene zneužiť. Nepotrebovala žiadne oprávnenia a neobsahovala ani spustiteľný kód. Telefón sa začal reštartovať už po jej nainštalovaní, bez toho, aby ju používateľ musel otvoriť.

Súvisí s tým

Máš aktualizovaný WhatsApp? Stačilo kliknúť na Reel a aplikácia ťa mohla poslať na server útočníka

OdporúčameKoľko alkoholu denne už škodí zdraviu? Nový výskum spochybnil zaužívané predstavy

Chyba súvisí s tým, ako Android číta súbory APK. Dve systémové knižnice totiž rozdielne spracúvajú informácie o kompresii a veľkosti uložených dát. Výskumníci to využili na vytvorenie súboru, ktorého skutočná veľkosť nezodpovedala údajom v APK. Keď sa Android pokúsil prečítať dáta za koncom súboru, narazil na pamäťovú chybu SIGBUS a príslušný proces spadol.

Upravený súbor následne vložili do časti aplikácie, ktorú automaticky spracúva system_server, jeden z hlavných procesov Androidu. Po jeho páde sa systém pokúsil proces obnoviť, no pri ďalšom spustení opäť načítal rovnaký súbor. Telefón tak zostal uväznený v slučke reštartovania a namiesto domovskej obrazovky opakovane zobrazoval úvodnú animáciu Androidu.

Chyba zablokovala aj Google Pixel 10 s najnovším Androidom

GhostMap sa podarilo vyvolať na Androide 10 aj novších verziách systému. Výskumníci otestovali tiež Google Pixel 10 s Androidom 17 a bezpečnostnou aktualizáciou z 5. augusta 2026. Ako uvádza BleepingComputer, telefón začal padať približne sekundu po inštalácii upravenej aplikácie. Pri bežnom štarte zaznamenali 110 pádov systému a ďalších 72 pri pokuse o spustenie núdzového režimu.

Núdzový režim bežne umožňuje odstrániť aplikáciu, ktorá spôsobuje problémy. V tomto prípade sa však Android zrútil skôr, než sa používateľ mohol dostať k jej odinštalovaniu. Výskumníci identifikovali dve možnosti, ako telefón obnoviť. Prvou bolo obnovenie továrenských nastavení, pri ktorom sa vymažú aj lokálne uložené dáta. Druhou bolo odstránenie chybného súboru cez počítač pomocou nástroja Android Debug Bridge (ADB). Tento postup však vyžaduje vopred povolené ladenie cez USB. Výskumníci navyše museli využiť krátky okamih medzi jednotlivými pádmi systému, aby stihli súbor odstrániť.

Google o chybe vie od augusta. Bezpečnostnú opravu zatiaľ nevydal

Bitdefender upozornil Google na zraniteľnosť už 20. augusta 2026. Google však prvé hlásenie uzavrel s odôvodnením, že chybu nedokáže zopakovať a nespadá do jeho bezpečnostného programu. Výskumníci preto 25. augusta poslali nové hlásenie, tentoraz aj s funkčnou ukážkou telefónu, ktorý sa po inštalácii upravenej aplikácie neprestával reštartovať.

Ani druhé hlásenie neviedlo k vydaniu bezpečnostnej opravy. Google podľa Bitdefenderu oznámil, že problém odovzdal vývojárom, ktorí posúdia jeho prípadné odstránenie v budúcich verziách Androidu. Keď Bitdefender 5. novembra 2026 zverejnil svoje zistenia, oprava stále neexistovala. BleepingComputer od Googlu do vydania svojho článku nedostal vyjadrenie. Podobnú zraniteľnosť CVE-2016-6724 pritom Google opravil už v roku 2016. Aj vtedy dokázala škodlivá aplikácia vyvolať opakované reštartovanie telefónu. Google chybu označil za stredne závažnú.

GhostMap môže zabrániť aj odinštalovaniu škodlivej aplikácie

Útočník môže GhostMap využiť aj tak, aby používateľ nedokázal odstrániť škodlivú aplikáciu. Stačí upraviť napríklad jej ikonu. Keď ju Android zobrazí v nastaveniach, systémové rozhranie môže spadnúť ešte predtým, než sa používateľ dostane k odinštalovaniu. Podobný problém môže postihnúť aj antivírus, ktorý sa pokúsi upravený APK súbor skontrolovať.

Bitdefender upozornil aj na možnosť dostať takto upravený súbor do telefónu prostredníctvom aktualizácie už nainštalovanej aplikácie. Výskumníci zatiaľ neoverili, či by takáto aktualizácia prešla kontrolami Google Play. Spomínajú tiež vydieranie, pri ktorom by útočníci požadovali peniaze za obnovenie zablokovaného telefónu. Cielené zneužívanie GhostMap pri skutočných útokoch zatiaľ nezaznamenali.

Bitdefender už dokáže rozpoznať upravené APK súbory

Bitdefender už dokáže rozpoznať súbory APK upravené spôsobom, ktorý využíva GhostMap. Označuje ich ako Android.Riskware.Ghostmap.rA. Útočník by takýto súbor mohol podstrčiť napríklad vo falošnej bankovej aplikácii alebo údajnej aktualizácii Androidu, na ktorú používateľ narazí v správe či reklame.

Podozrivé aplikácie môžeš preveriť aj cez Google Play Protect, no výskumníci zatiaľ nepotvrdili, či dokáže odhaliť súbory využívajúce GhostMap. Bitdefender navyše upozorňuje, že jeho bezpečnostný nástroj môže na upravený súbor upozorniť, ale nemusí dokázať zastaviť jeho inštaláciu. Ak telefón skončí v slučke reštartovania a nepodarí sa ho obnoviť bez vymazania, o fotografie a dokumenty uložené v telefóne prídeš, pokiaľ ich nemáš zálohované.