OnePlus’ta uygulamalar root yetkisi alıyor

OnePlus ve OPPO telefonlarda çalışan OxygenOS, kötü niyetli bir uygulamanın hiçbir izin istemeden root yetkisi almasına yol açan iki açıkla geldi. Android’de normal bir uygulama sıkı bir kutuda çalışır, cihazın geri kalanına erişemez. Bu zincir o kutuyu baştan sona kırıyor.

İki hata birleşince tam yetki

İlk açık CVE-2026-70386, OxygenOS’un telemetri toplayan AtlasService servisinde. Servis, setEvent çağrısını yapan uygulamanın kim olduğuna bakmadan kabul ediyor. atlas_event_multimedia_audio_dumpsys adıyla gönderilen değer bir sistem özelliğine yazılıyor ve root olarak çalışan audioDumpInfo servisine aktarılıyor. Değer burada kabuk komutuna ekleniyor, yani uygulama uid 0 ile komut çalıştırabiliyor.

İkinci açık CVE-2026-70387, satıcıya ait olc2 günlük HAL’ında. doShell metodu gelen komutu doğrudan /vendor/bin/sh üzerinden çalıştırıyor, tek kontrol çağrıyı yapanın uid 0 olup olmadığı. İlk açıkla uid 0’a ulaşan uygulama bu kapıyı da açıyor ve tüm Linux yetkilerine sahip bir kabuk elde ediyor. NVD iki açığa CVSS 4.0 ölçeğinde 8.5 ve 8.4 veriyor.

Hangi sürümler etkileniyor

NVD kaydına göre OxygenOS 16.1.0 sürümünden 16.1.10.500 öncesine, 16.0.0 sürümünden 16.0.5.1200 öncesine ve 15.0.0 sürümünden 15.0.0.2000 öncesine kadar olan yapılar etkileniyor. Açığı bulan araştırmacı denemeyi OnePlus 15’te (CPH2747) yaptı ve hazırladığı uygulama ilk denemede çalıştı; geliştirme sürecini OnePlus 12 Pro üzerinde yürüttü. OnePlus, açığın farklı yazılım sürümlerindeki çok sayıda OnePlus ve OPPO cihazını etkilediğini doğruladı. Şirketin 28 Eylül’de verdiği bilgiye göre bakımda olan cihazlardan 151’i yamayı aldı, 18 cihazın güncellemesi bekliyordu.

Nasıl kapatılır

Telefonun ayarlarından yapı numarasını kontrol et. 16.1.0 hattında son numarası 500 ve üzeri, 16.0.0 hattında 1200 ve üzeri, 15.0.0 hattında 2000 ve üzeri olan yapılar düzeltilmiş sayılıyor. Güncelleme görünmüyorsa birkaç gün sonra yeniden dene, yama cihaz bazında dalgalı dağıtılıyor. Bu arada mağaza dışından APK kurmayı bırak. Zincirin tamamı, hiç izin istemeyen bir uygulamanın kurulup bir kez açılmasıyla çalışıyor.

Süreç tarafı

Açıklar 18 Nisan 2026’da OnePlus’a bildirildi. OnePlus 20 Mayıs’ta araştırmacıya, yayımlanması halinde hukuki işlem yapılacağını bildiren bir e-posta gönderdi. OnePlus 15 için düzeltme 18 Ağustos’ta yayınlandı, teknik yazı 24 Eylül’de çıktı. Kaynaklarda açıkların sahada kullanıldığına dair bir bilgi yok. Yine de root yetkisi, normalde uygulamaların erişemediği sistem alanlarına ve diğer uygulamaların verilerine kapı açtığı için yamanın gecikmesi riski büyütüyor.

Kaynak: NVD · nns.ee