Bitdefender обнаружил, что специально сформированный APK вызывает бесконечный crash-loop системного процесса даже без открытия приложения. Уязвимость затрагивает Android 10+ вплоть до 17 на Pixel 10, не чинится безопасным режимом и требует factory reset. Google отказался выпускать security update, передав баг feature team.
Исследователи Sekoia с moderate-to-high confidence связывают атаки с российской СВР. Использовались ранее пропатченные уязвимости iOS и Android, JavaScript на подставных сайтах (включая america250[.]holiday) воровал cookies, Wi-Fi-пароли и данные устройств.
Google с партнёрами отключил управляющие домены и серверы XCPE — ботнета из более чем 1,3 млн Android TV-приставок. GTIG возложила ответственность на китайского производителя Videostrong: прошивка сдавала устройство в residential proxy, крутила рекламный фрод и могла догружать чужой код; по оценке участников, отсечение может лишить ботнет доступа ещё к 10 млн систем. В отчёте также названы AppSalt/Honeygain, NetNut и другие прокси-провайдеры, а среди заражённых устройств были telehealth-гаджеты, караоке-машины и цифровые вывески.
Карлос Льямас объявил об удалении C-реализации Binder — основного IPC-механизма Android. Замена написана на Rust. Алиса Рюль, работавшая над Rust-реализацией, поделилась деталями на Kangrejos 2026.
В прошивке H96 Max V11 (Rockchip RK3328, Android 11, 4 ГБ) нашлись root, включённая сетевая отладка и восемь скрытых пользователей; в них стоят пакеты com.fuyao.elf.center/remote/script, а главный центр лежит в /system/preinstall и переживает сброс. Управляющий сервер — oss[.]fwgcloud[.]com, Google считает такие устройства AOSP, а не сертифицированным Android TV. По данным Bitsight, операция Fuyao (её связывают с Zhejiang Fengwo IoT Technology) при включённом HDMI гонит через приставку чужой трафик, а при выключенном ТВ накручивает рекламу; потенциальная выручка — до $40 млн в год.
Проект анонсировал версию 24.0, перебазированную на Android 17, и отметил, что релиз вышел раньше запланированного из-за ускорения работы после нескольких предыдущих крупных рефакторингов Google. 24 декабря 2026 года проекту исполняется 10 лет.
GrapheneOS сообщает, что Android 17 впервые со времён Android 3.x добавляет новые API, не выпуская их в открытый исходный код AOSP. Подробности не раскрыты.
Google убирает из ядра Linux старый C-драйвер Binder, который 15 лет был «мучительно сложен в поддержке». Rust-версия от Alice Ryhl достигла паритета и часто превосходит C по производительности. Патч уже в ветке char-misc-next для Linux 7.4.
Исследователь показал, что через публичный API IpSecManager.UdpEncapsulationSocket любое приложение может отправить UDP/4500 пакет напрямую на роутер, минуя VPN. Подтверждено на Pixel 8 Pro, Samsung SM-F966B и Nothing A059 под Android 16. Проблема затрагивает ≈91% устройств на Android 12+.
Аудит с MobSF, jadx и apktool выявил в VK 11 трекеров и рейтинг риска 98/100, а также ключи подписи RSA-1024 у шести приложений (Сбербанк, Госуслуги, VK, Авито, Ozon Bank). HMS Huawei найден в 10 из 11 приложений. Госключ оказался единственным с 2.4 балла риска и RSA-2048.
Версия 13 Messages от GrapheneOS полностью переработана: новый интерфейс на Jetpack Compose, Material 3, двухпанельный режим на больших экранах. Внедрены блокировка спама, заглушка сниппетов YouTube, улучшенная приватность и исправлено множество crash'ей.
Calif Research выпустила демо WeWorm — первого zero-click червя, распространяющегося через звонки WeChat на iOS и Android. Жертве не нужно отвечать или трогать телефон; даже при ответе она ничего не слышит, а эксплойт всё равно срабатывает. По словам команды, с помощью ИИ баг нашли и оформили RCE-эксплойт за два дня, ещё неделя ушла на червя.
Детали не раскрыты — известно только, что GrapheneOS провёл крупное обновление стандартных приложений и механизма безопасного буфера обмена. Подробности позже.
Клиент AuroraStore, используемый в GrapheneOS для доступа к Google Play, перестал работать из-за блокировки со стороны Play Store. Подробности инцидента не раскрываются.
В выпуске: как Tinder сократил холодный старт на 47% с помощью R8 Config Analyzer, 136 уровней вложенности в XCUITest, обзор Android Runtime, а также переход Android от Event-Driven к State-Driven UI. Много ссылок на статьи и видео.
Google всё-таки добавил Aptoide Games в Play Store, но судья Donato решил, что реализация содержит «антиконкурентную возню»: ссылка зарыта в меню, а поиск «aptoide» выдаёт баннер «вы ищете?» вместо прямой ссылки. Epic требует упростить доступ.
Google подчинился решению суда по иску Epic и начал размещать сторонние магазины в Play Store: первым стал игровой Aptoide. Установка не требует включения sideloading, а CEO Aptoide говорит о доступе к каталогу на 1,9 млн приложений и 295 тыс. игр, хотя пока ассортимент скудный.
Google подтвердила, что разработчики из стран под санкциями США (Куба, Иран) не смогут пройти верификацию, и их приложения будут доступны только внутри этих стран. Верификация для остального мира стартует 30 сентября в Бразилии, Индонезии, Сингапуре и Таиланде, с глобальным развёртыванием в 2027 году. Google объясняет это борьбой с мошенническими приложениями.
Один из мейнтейнеров ADB (сотрудник Google) в IssueTracker обсуждает ограничение on-device ADB для борьбы с «bad actors». Это не официальный анонс. Автор — разработчик ShizuCallRecorder — предупреждает, что пострадают не только Shizuku, но и обычные разработчики. Он просит не спамить тред, а оставлять конструктивные отзывы.
ЕК выпустила предписания по DMA: Google обязан предоставить API для конкурентов Gemini — доступ к аппаратным кнопкам, экрану, микрофонам, фоновой работе и always-on hot word detection. Также Google должен делиться поисковыми данными с конкурентами по FRAND-ценам.
Epic и Google отозвали совместную попытку пересмотреть судебное предписание. С 22 июля 2026 Google обязан разместить сторонние магазины приложений внутри Google Play. Разработчики могут отказаться от автоматической передачи каталога. Google также запускает программу Registered App Store для остального мира. Годовой взнос за доступ к каталогу — $5,000.
На Habr автор рассказывает, как сделал raycast-движок без Unity, Unreal и Godot — просто на Android View. Самая приятная цифра здесь не «псевдо-3D», а 500 строк кода: это тот случай, когда масштаб проблемы заранее принижен до размеров, с которыми ещё можно спорить в комментариях.
Android-приложение FairScan обновилось до 2.0, и главная новая фича — OCR на базе Tesseract. Теперь сканы можно сохранять в PDF с распознаваемым текстом, а сам разработчик Pierre-Yves Nicolas отдельно расписал, почему этого не было раньше — редкий случай, когда у документации есть не только «что», но и «почему руки не доходили».
Автор PaintCAD Mobile пишет, что новый релиз 3.0.24 — это продолжение проекта, который он развивал почти год, начиная с 14 июня 2025 года. Сам редактор до сих пор поддерживает Android 2.3+ и даже J2ME, что звучит как технологическая археология, но зато очень конкретно: проект явно живёт не в мире маркетинговых слайдов.
Разработчики GrapheneOS пишут, что порт на Android 17 готов и «official releases are coming soon». Судя по обсуждению на форуме проекта, это не очередной анонс на слайдах, а вполне конкретная подготовка к релизам под свежую базу Android.
В апрельском отчёте Servo перечисляет сразу несколько штук: новый Android UI, доработки focus и forms, плюс security fixes. Для движка браузера это тот редкий случай, когда прогресс не надо угадывать по коммитам — его прямо разложили по полочкам в одном посте.
Автор взял дешёвый планшет на RK3562 и заставил его грузить Debian вместо обычного Android-ритуала. Репозиторий rk3562deb показывает весь путь: от прошивки и загрузчика до того, как жить с Linux на железке, которую обычно списывают в «детские игрушки». На HN у записи 290 баллов и 132 комментария — значит, народ внезапно понял, что это не совсем цирк.
Ещё один GitHub-проект про воскрешение дешёвого железа, но уже без глянца: rk3562deb — это инструкция и набор файлов для запуска Debian на планшете с чипом RK3562. По описанию, цель — превратить Android-таблетку в Linux-устройство с нормальной рабочей средой, а не в декоративный экран с браузером. Такие проекты обычно ценнее любых «новинок» из анонсов: тут хотя бы можно потрогать результат руками.