【安全资讯】谷歌紧急修补高通显示组件零日漏洞，已遭有限针对性利用

概要：

在日益严峻的移动安全威胁背景下，谷歌于近期发布了月度安全更新，修复了包括一个已被积极利用的高通（Qualcomm）显示组件零日漏洞在内的129个Android安全漏洞。该漏洞编号为CVE-2026-21385，影响范围广泛，波及多达235款高通芯片组，对全球数十亿Android设备构成潜在威胁，凸显了供应链安全漏洞的严重性。

主要内容：

此次被利用的漏洞CVE-2026-21385存在于高通的图形（Graphics）子组件中，是一个整数溢出或回绕（integer overflow or wraparound）缺陷。本地攻击者可以利用此漏洞触发内存损坏，从而可能实现权限提升或执行恶意代码。高通于去年12月18日收到漏洞警报，并于今年2月2日通知了客户。

谷歌在3月的安全公告中确认，已有迹象表明该漏洞正遭受“有限的、有针对性的利用”。尽管谷歌和高通均未披露攻击的具体细节及目标，但此类针对性攻击通常针对特定个人或组织，危害性极高。本次更新共修复了10个关键漏洞，涉及系统、框架和内核组件。

谷歌分两批发布了补丁：2026-03-01和2026-03-05安全补丁级别。后者包含了前者的所有修复，以及针对闭源第三方组件和内核子组件的补丁。然而，由于Android生态的碎片化，这些补丁无法立即覆盖所有设备，各设备制造商需要时间进行适配测试。

这是谷歌在短期内处理的又一起活跃零日漏洞事件。去年12月，谷歌曾修补另外两个同样被标记为“有限针对性利用”的高危零日漏洞。这一系列事件表明，针对移动设备底层组件的高级持续性威胁（APT）活动正持续活跃，供应链安全已成为整体移动安全防御的关键一环。