Samsung sl\u00e4ppte sitt s\u00e4kerhetspaket f\u00f6r september den 8 september. Det kallas SMR Sep-2026 Release 1 och inneh\u00e5ller 90 korrigeringar, varav Samsung klassificerar tv\u00e5 som kritiska. B\u00e5da finns i samma komponent, n\u00e4mligen koden som avkodar bilder p\u00e5 Galaxy-telefoner. <\/p>\n
De tv\u00e5 posterna \u00e4r SVE-2026-3247 och SVE-2026-3282, som sp\u00e5ras offentligt som CVE-2026-21095 och CVE-2026-21096. Den f\u00f6rsta p\u00e5verkar DNG-avkodaren, den andra JPEG-avkodaren. B\u00e5da finns i libimagecodec.quram.so, det bibliotek som Samsung anv\u00e4nder f\u00f6r att bearbeta bilder. DNG \u00e4r ett r\u00e5bildsformat som m\u00e5nga kameror och telefoner producerar. Samsung beskriver b\u00e5da som ett heap-baserat buffert\u00f6verskridande som \u201dg\u00f6r det m\u00f6jligt f\u00f6r angripare p\u00e5 distans att k\u00f6ra godtycklig kod\u201d. Android 14, 15, 16 och 17 \u00e4r drabbade. <\/p>\n
Varf\u00f6r detta \u00e4r mer \u00e4n en rutinm\u00e4ssig patch<\/p>\n
CVE-posten, som Samsung sj\u00e4lv registrerade, har ett CVSS-betyg p\u00e5 9,2 av 10. Vektorn \u00e4r viktigare \u00e4n siffran. Den inkluderar UI:N, vilket inneb\u00e4r att en attack inte kr\u00e4ver n\u00e5gon \u00e5tg\u00e4rd fr\u00e5n anv\u00e4ndaren. Inget tryck p\u00e5 en fil, ingen bekr\u00e4ftelse. Enheten beh\u00f6ver bara bearbeta en felformaterad bild. Samma vektor inkluderar \u00e4ven AT:P, vilket inneb\u00e4r att ytterligare villkor m\u00e5ste uppfyllas innan en attack kan genomf\u00f6ras. <\/p>\n
Brendon Tiszka och Mateusz Jurczyk fr\u00e5n Google Project Zero uppt\u00e4ckte b\u00e5da s\u00e5rbarheterna, och Samsung tackar dem i avsnittet med tack i sitt s\u00e4kerhetsmeddelande. B\u00e5da posterna \u00e4r markerade som \u201dPrivately disclosed\u201d (avsl\u00f6jade privat), s\u00e5 det finns inga rapporter om attacker. Sj\u00e4lva \u00e5tg\u00e4rden \u00e4r liten. Samsung s\u00e4ger bara att man l\u00e4gger till korrekt validering av indata. <\/p>\n
Angripare utnyttjade samma bibliotek \u00e5r 2025<\/p>\n
Det h\u00e4r \u00e4r inte f\u00f6rsta g\u00e5ngen som den delen av systemet har orsakat problem. \u00c5r 2025 anv\u00e4nde angripare libimagecodec.quram.so f\u00f6r att sprida kommersiell spionprogramvara vid namn Landfall. Forskare vid Palo Alto Networks Unit 42 dokumenterade hur felaktigt formaterade DNG-filer som skickades via WhatsApp komprometterade telefoner utan att offret beh\u00f6vde klicka p\u00e5 n\u00e5gonting. Samsung \u00e5tg\u00e4rdade den s\u00e4kerhetsbristen, CVE-2025-21042, i april 2025, och den amerikanska cybers\u00e4kerhetsmyndigheten CISA lade till den i sin katalog \u00f6ver k\u00e4nda utnyttjade s\u00e5rbarheter i november. K\u00e4nda m\u00e5l fanns i Irak, Iran, Turkiet och Marocko. <\/p>\n
De s\u00e5rbarheter som Samsung just har \u00e5tg\u00e4rdat \u00e4r separata buggar. De p\u00e5verkar samma komponent och samma filformat, vilket visar att avkodaren fortfarande utg\u00f6r en attackyta. <\/p>\n
S\u00e5 h\u00e4r kontrollerar du din uppdateringsniv\u00e5<\/p>\n
\u00d6ppna Inst\u00e4llningar, sedan Programuppdatering, sedan Programinformation och titta p\u00e5 s\u00e4kerhetsuppdateringsniv\u00e5n f\u00f6r Android. Om datumet \u00e4r fr\u00e5n september 2026 har din telefon redan paketet. Om det visar augusti eller tidigare trycker du p\u00e5 Ladda ner och installera. <\/p>\n
Samsung skickar dessa paket f\u00f6rst till sina nuvarande flaggskeppsmodeller, och \u00e4ldre enheter f\u00f6ljer efter under de kommande veckorna. Det m\u00f6nstret syntes \u00e4ven med juli-uppdateringen<\/a>. Vi tittade ocks\u00e5 p\u00e5 Samsung Internet<\/a> f\u00f6r att se vilka delar av systemet som den m\u00e5natliga s\u00e4kerhetsuppdateringen aldrig n\u00e5r. <\/p>\n