三星Galaxy：一张精心制作的图片无需点击即可运行代码

三星已于 9 月 8 日发布其 9 月安全补丁包。该补丁包名为 SMR Sep-2026 Release 1，包含 90 项修复，其中三星将两项修复评定为“严重”级别。这两项修复均位于同一组件中，即 Galaxy 手机上用于解码图像的代码。

这两个漏洞条目分别为 SVE-2026-3247 和 SVE-2026-3282，公开追踪编号为 CVE-2026-21095 和 CVE-2026-21096。 第一个漏洞影响 DNG 解码器，第二个影响 JPEG 解码器。两者均位于 libimagecodec.quram.so 中，这是三星用于处理图像的库。DNG 是一种许多相机和手机生成的原始照片格式。 三星将这两个漏洞描述为基于堆的缓冲区溢出，该漏洞“允许远程攻击者执行任意代码”。Android 14、15、16 和 17 均受影响。

为何这不仅仅是一条例行补丁公告

由三星自行提交的 CVE 记录显示，该漏洞的 CVSS 评分为 9.2（满分 10 分）。攻击向量比具体数值更具决定性意义。该记录包含 UI:N 标记，意味着攻击无需用户任何操作。 无需点击文件，也无需确认。设备只需处理一张格式错误的图片即可。该攻击向量还包含 AT:P，因此攻击成功前必须满足其他条件。

谷歌Project Zero团队的Brendon Tiszka和Mateusz Jurczyk发现了这两个漏洞，三星在其公告的致谢部分对他们表示了感谢。这两条记录均标注为“私下披露”，因此尚未有攻击报告。修复本身较为简单。三星仅表示添加了适当的输入验证机制。

2025年，攻击者曾利用同一库发起攻击

这并非该系统组件首次引发问题。早在2025年，攻击者就曾利用 libimagecodec.quram.so 传播名为 Landfall 的商业间谍软件。Palo Alto Networks Unit 42 的研究人员详细记录了通过 WhatsApp 发送的畸形 DNG 文件如何在受害者无需点击任何内容的情况下就使手机遭到入侵。 三星于2025年4月修复了该漏洞（CVE-2025-21042），美国网络安全局（CISA）随后于11月将其列入已知被利用漏洞目录。已知攻击目标位于伊拉克、伊朗、土耳其和摩洛哥。

三星刚刚修复的这些漏洞属于不同的缺陷。它们影响同一个组件和同一个文件格式，这表明该解码器仍然是攻击面。

如何查看您的补丁级别

打开“设置”，依次进入“软件更新”→“软件信息”，查看“Android 安全补丁级别”。如果日期显示为 2026 年 9 月，说明您的手机已安装该补丁包；如果显示为 8 月或更早，请点击“下载并安装”。

三星会优先向当前旗舰机型推送这些补丁包，旧款设备则会在随后几周内陆续收到。 7 月的更新也呈现出同样的模式。我们还检查了三星浏览器（Samsung Internet），以了解月度补丁未能覆盖系统的哪些部分。

在 90 个修复项中，58 个来自谷歌的 Android 安全公告，其中 18 个被评为“严重”，40 个被评为“高危”。 另有 1 项修复来自三星半导体，剩余的 31 项则来自三星移动。我们在关于 6 月安全公告的报道中详细解释了每月 Android 更新包的组装流程，以及为何个别漏洞的修复仍需较长时间才能推送至手机。