Независимый ИБ-исследователь Расмус Мооратс (Rasmus Moorats) обнаружил две неисправленные уязвимости в ПО OnePlus, которые позволяют обычному приложению получить полный root-доступ к устройству. Подчеркивается, что для атаки приложению не понадобятся никакие специальные разрешения, а пользователь не увидит дополнительных запросов или предупреждений.

Мооратс продемонстрировал проблему на смартфоне OnePlus 15 с актуальной версией OxygenOS, а также сообщил, что эксплоит сработал на более старом OnePlus 12 Pro.

Представители OnePlus уже подтвердили, что уязвимости затрагивают и другие устройства компании, а также смартфоны Oppo, хотя не назвали конкретные модели. Из-за этого исследователь предполагает, что уязвима может быть OxygenOS 16 в целом.

Первый баг был найден в сервисе AtlasService, который собирает отладочную информацию, работает с root-привилегиями и принимает вызовы от любых приложений, не проверяя отправителя. Специально подготовленный запрос позволяет передать отладочному инструменту OnePlus текст, заданный атакующим, который в итоге будет вставлен в системную команду без каких-либо проверок.

В результате атакующее приложение получает права root, однако пока работает в ограниченном системном контексте dumpstate, где доступны далеко не все возможности суперпользователя.

Здесь в дело вступает вторая уязвимость. Дело в том, что еще один системный сервис OnePlus, olc2, который позволяет процессам с UID 0 выполнять произвольные шелл-команды, при этом проверяет лишь тот факт, что вызывающий процесс уже работает с root-правами. Первая уязвимость как раз позволяет выполнить это условие.

В итоге вредоносная команда запускается в контексте, где доступны низкоуровневые привилегии Linux, включая загрузку кода в ядро. Таким образом, приложение атакующего получает полный контроль над системой.

Исследователь подчеркивает, что атака возможна только локально, и сначала злоумышленнику придется добиться установки малвари на смартфон жертвы. Однако после запуска вредоносному приложению уже не требуются никакие дополнительные разрешения, и все тесты Мооратс проводил на обычном, немодифицированном устройстве.

Специалист рассказывает, что уведомил разработчиков OnePlus о найденных проблемах еще 18 апреля 2026 года. 20 мая специалисты компании подтвердили баги и сообщили, что готовят исправление. Одновременно с этим исследователя предупредили, что OnePlus оставляет за собой «исключительное окончательное право» решать, когда раскрывать информацию об уязвимостях, а публикация без разрешения может повлечь за собой юридическую ответственность.

22 июня в OnePlus попросили отложить раскрытие информации о багах, и Мооратс согласился подождать до 17 сентября. Однако после этого представители компании перестали отвечать, и исследователь не получил ответов на свои запросы от 20 июля и 11 сентября. Поэтому 24 сентября Мооратс опубликовал технические детали уязвимостей.

В настоящее время патчей для этих проблем по-прежнему нет. Уязвимостям пока не присвоили идентификаторы CVE, и отдельного бюллетеня безопасности в OnePlus тоже не выпускали.

Исследователь предупреждает, что пока исправлений нет, основной способ защиты — не устанавливать приложения из непроверенных источников. Ведь без запуска вредоносного приложения на устройстве атака не сработает.