文章总结： 谷歌发布2026年3月安卓安全公告修复129个漏洞，重点指出高通显示组件的高危漏洞CVE-2026-21385已遭利用。系统组件存在严重远程代码执行漏洞CVE-2026-0006，无需用户交互。公告还涵盖多个内核权限提升及联发科等芯片商漏洞。建议用户尽快安装补丁更新以应对安全威胁。 综合评分： 72 文章分类： 漏洞预警,移动安全,漏洞分析

谷歌确认高通安卓组件中的 CVE-2026-21385 漏洞已被利用

会杀毒的单反狗 会杀毒的单反狗

军哥网络安全读报

2026年3月4日 09:02 湖北

导读

谷歌发布 2026 年 3 月 Android 安全公告，为 Android 生态系统中的 129 个安全漏洞提供了关键修复。本月公告中最令人担忧的问题是 CVE-2026-21385，这是一个位于高通显示和图形组件中的高危漏洞。

公告指出，有迹象表明 CVE-2026-21385 可能正被有针对性地进行有限范围的利用。该漏洞存在于高通显示组件中，严重程度评级为“高”。使用高通芯片组的设备运行机构应尽快修复此漏洞。

关键漏洞涵盖远程代码执行 (RCE)、内核管理程序和权限提升。

该公告中提到的一个严重问题是系统组件中的一个关键漏洞，该漏洞可能导致攻击者在无需额外执行权限且无需用户交互的情况下远程执行代码。

该漏洞编号为 CVE-2026-0006，影响 Android 16，并且与 Media Codecs Mainline 组件相关，这意味着在符合条件的设备上，攻击者可以通过 Google Play 系统更新获得更新。

系统组件中的第二个严重漏洞 CVE-2025-48631 属于拒绝服务漏洞，影响 Android 14、15、16 和 16-QPR2 版本。

框架组件也存在一个严重漏洞 CVE-2026-0047，该漏洞允许本地权限提升。此漏洞仅限于 Android 16-QPR2 版本。

内核级漏洞是造成系统结构性重大影响的主要漏洞之一。多个严重的权限提升漏洞影响受保护内核虚拟机 (pKVM) 子系统，包括 CVE-2026-0037、CVE-2026-0027、CVE-2026-0028、CVE-2026-0030 和 CVE-2026-0031。CVE-2024-43859（评级为“严重”）针对闪存友好文件系统 (F2FS)。

CVE-2026-0038 影响虚拟机管理程序。所有内核漏洞均属于 2026 年 3 月 5 日的补丁级别。其中最严重的内核问题需要系统执行权限才能利用，无需用户交互。

漏洞公告中“框架”部分篇幅最长，列出了超过 30 个 CVE 。其中大部分是权限提升漏洞，评级为“高”。三个漏洞涉及信息泄露，另外三个涉及拒绝服务攻击。受影响的 AOSP 版本因漏洞而异，其中一些漏洞影响 Android 14 到 16-QPR2 版本。

多个框架漏洞与主线组件相关，可通过 Google Play 进行修复，无需完整的 OTA 更新。受影响的主线子组件包括 MediaProvider、Documents UI 和 Permission Controller。

芯片组供应商在CVE总数中占很大比例。

第三方芯片和组件供应商在公告中的漏洞总数中占很大比例。

联发科披露了 20 个 CVE，涵盖 KeyInstall 组件、显示子系统以及多个调制解调器相关漏洞。高通贡献了 6 个显示和安全组件的开源 CVE，以及 8 个闭源组件漏洞。Imagination Technologies 报告了 7 个 PowerVR GPU 问题。

此外，还有 1 个 Arm Mali 漏洞和 1 个来自其他 OEM 厂商的 VBMeta 漏洞，这些构成了硬件供应商部分的其余内容。

本公告中所有硬件供应商条目的严重性评级均为“高”。这些问题的严重性评估直接来自相应的供应商。

谷歌官方公告：

https://source.android.com/docs/security/bulletin/2026/2026-03-01

新闻链接：

Android’s March 2026 security patch fixes over 100 flaws, one under targeted exploitation

扫码关注

军哥网络安全读报

讲述普通人能听懂的安全故事

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：军哥网络安全读报 会杀毒的单反狗 会杀毒的单反狗《谷歌确认高通安卓组件中的 CVE-2026-21385 漏洞已被利用》