Microsoft ortaya çıkardı: 50 milyon Android kullanıcısını ilgilendiren güvenlik açığı
Microsoft’un güvenlik araştırmacıları, Android ekosistemini yakından ilgilendiren kritik bir açığı ortaya çıkardı. Yaygın olarak kullanılan üçüncü parti bir yazılım geliştirme kiti (SDK) olan EngageLab SDK’daki güvenlik zafiyeti, 50 milyondan fazla Android kullanıcısını potansiyel risk altına soktu.
Microsoft, 50 milyondan fazla Android kullanıcısını etkileyen güvenlik açığını keşfetti. Söz konusu açık, özellikle kripto para cüzdanı uygulamalarını doğrudan etkiledi. Araştırmalara göre bu uygulamaların toplam kurulum sayısı 30 milyonun üzerinde ve diğer uygulamalar da dahil edildiğinde risk altındaki toplam kurulum sayısı 50 milyonu aşıyor.
Güvenlik açığı sayesinde, Android’de kötü niyetli bir uygulama aynı cihaz üzerindeki başka bir uygulamanın yetkilerini kullanarak sistemin güvenlik sınırlarını aşabiliyor. Bu da kullanıcı verilerine izinsiz erişim anlamına geliyor.
Araştırmacılara göre saldırganlar, cihazda yüklü zararlı bir uygulama aracılığıyla bu açığı kullanarak hedef uygulamaların iç dizinlerine erişebiliyor. Bu durum; kişisel bilgiler, kullanıcı kimlik bilgileri ve finansal veriler gibi son derece hassas bilgilerin açığa çıkmasına yol açabilecek ciddi bir tehdit oluşturuyor.
Sorunun temelinde ise EngageLab SDK’nın uygulama içindeki güvenli ortamda çalışmasına rağmen, dışarıdan gelen bazı komutları yeterince doğrulamadan “güvenilir” kabul etmesi yatıyor. Bu da aslında faydalı bir araç olan SDK’yı, potansiyel bir saldırı köprüsüne dönüştürüyor.
Açığın, özellikle 30 milyondan fazla indirilen kripto para uygulamalarında bulunması sorunun ciddiyetini daha da artırıyor.
İLK OLARAK 2025’TE TESPİT EDİLDİ
Microsoft, açığı ilk olarak Nisan 2025’te tespit etti ve ilgili taraflara bildirdi. EngageLab ise sorunu Kasım 2025’te yayınladığı 5.2.1 sürümüyle giderdi. Ayrıca Google, açık barındıran uygulamaları Play Store’dan kaldırdı ve Android tarafında ek güvenlik önlemleri devreye alındı.
Öte yandan, şu ana kadar bu güvenlik açığının aktif olarak kötüye kullanıldığına dair bir kanıt bulunmuyor. Ancak uzmanlar, özellikle geliştiricilerin kullandıkları SDK’ları güncel tutmasının kritik önem taşıdığı konusunda uyarıyor.
