Google merilis pembaruan keamanan Android yang menambal 129 kerentanan, termasuk satu celah zero-day pada komponen display Qualcomm yang dilaporkan telah dieksploitasi secara terbatas dalam serangan nyata.
Dalam Android Security Bulletin edisi Maret 2026, Google menyebut terdapat indikasi bahwa kerentanan yang dilacak sebagai CVE-2026-21385 sedang digunakan dalam eksploitasi terbatas dan terarah.
Integer Overflow pada Komponen Grafis
Meski Google tidak mengungkap detail teknis serangan maupun targetnya, Qualcomm menjelaskan dalam advisori terpisah bahwa celah tersebut disebabkan oleh kelemahan integer overflow atau wraparound pada subkomponen Graphics.
Kerentanan ini memungkinkan penyerang lokal memicu korupsi memori. Qualcomm menyatakan bahwa mereka menerima laporan mengenai celah tersebut dari tim keamanan Android Google pada 18 Desember, dan telah memberi tahu pelanggan pada awal Februari.
Menurut Qualcomm, perbaikan telah tersedia bagi mitra perangkat sejak Januari 2026. Perusahaan juga mendorong pengguna akhir untuk segera memasang pembaruan keamanan yang dirilis oleh produsen perangkat masing-masing.
Celah ini dilaporkan memengaruhi hingga 235 chipset Qualcomm.
10 Kerentanan Kritis Tambahan
Selain zero-day Qualcomm, pembaruan keamanan bulan ini juga menutup 10 kerentanan kritis pada komponen System, Framework, dan Kernel Android.
Google menyebutkan bahwa kerentanan paling parah berada di komponen System dan dapat menyebabkan eksekusi kode jarak jauh (remote code execution/RCE) tanpa memerlukan hak istimewa tambahan maupun interaksi pengguna.
Kondisi ini menjadikannya sangat berisiko apabila dimanfaatkan oleh pelaku ancaman.
Dua Tingkat Patch Keamanan
Google merilis dua level patch keamanan: 2026-03-01 dan 2026-03-05. Level 2026-03-05 mencakup seluruh perbaikan dari paket pertama, ditambah patch untuk komponen pihak ketiga dan subkomponen kernel tertutup yang tidak selalu relevan untuk semua perangkat Android.
Perangkat Google Pixel biasanya menerima pembaruan keamanan lebih cepat. Namun, produsen lain umumnya memerlukan waktu tambahan untuk menguji dan menyesuaikan patch dengan konfigurasi perangkat keras masing-masing.
Tren Zero-Day Android
Sebelumnya pada Desember lalu, Google juga menambal dua kerentanan zero-day tingkat tinggi, yakni CVE-2025-48633 dan CVE-2025-48572, yang sama-sama ditandai sebagai dieksploitasi secara terbatas.
Rangkaian temuan ini menunjukkan bahwa Android tetap menjadi target bernilai tinggi bagi pelaku serangan siber, khususnya melalui komponen sistem inti dan driver perangkat keras.
Pengguna disarankan untuk segera memasang pembaruan keamanan yang tersedia guna mengurangi risiko eksploitasi terhadap perangkat mereka.