Коротко: 3 сентября 2026 года исследователи обнаружили, что WhatsApp для Android позволяет просматривать фотографии из галереи на полностью заблокированном смартфоне — без ввода ПИН-кода и без биометрии. Для этого достаточно входящего видеозвонка в WhatsApp, ответа на него и нескольких касаний в меню эффектов с функцией Meta AI. Официального патча и CVE пока нет; WhatsApp и Google уведомлены.
Как работает уязвимость: видеозвонок как лазейка
Механизм эксплуатации прост настолько, что не требует технических навыков. Схему описал пользователь VBarraquito в социальной сети X, после чего её независимо подтвердили несколько исследователей и редакций:
- Злоумышленник (или любой, кто физически держит телефон) звонит через WhatsApp — именно видеозвонок.
- Звонок принимается с заблокированного экрана: Android разрешает ответить на входящий звонок без ввода ПИН или биометрии.
- После ответа открывается интерфейс видеозвонка. Нажимается иконка эффектов и фильтров.
- В меню выбирается функция Meta AI для редактирования фото.
- Приложение отображает миниатюры (превью) снимков из галереи — ещё до запроса ПИН-кода или сканирования отпечатка.
Корень проблемы в том, что WhatsApp получает разрешение на доступ к галерее при обычной установке, однако интеграция с Meta AI не предусматривала сценарий, при котором медиафайлы открываются до аутентификации пользователя. В нашем блоге мы разбираем, как приложения используют разрешения и почему принцип минимальных привилегий критичен для приватности.
Какие устройства под угрозой
По данным независимых проверок, подтверждённых несколькими изданиями:
- Pixel (Google) и Oppo — уязвимость воспроизводится: фотографии из галереи доступны без разблокировки экрана.
- Samsung Galaxy — у части моделей система дополнительно требует разблокировки перед показом галереи в этом сценарии, уязвимость не воспроизводится.
- iPhone (iOS) — не подвержены: WhatsApp на iOS работает через системный интерфейс Apple, не допускающий доступ к медиафайлам до аутентификации.
Полный список затронутых моделей уточняется. Официального перечня от WhatsApp на дату публикации (8 сентября 2026 года) нет. Если ваш смартфон работает на Android, рекомендуем считать его потенциально уязвимым до выхода обновления. Схожий класс уязвимостей — когда ОС или приложение ослабляют защиту в «доверенных» сценариях — ранее был задокументирован в исследовании о лазейках в AirDrop и Quick Share.
Что именно видит посторонний
Уязвимость открывает миниатюры фотографий из галереи. По имеющимся данным, при определённой последовательности действий возможен доступ к полноразмерным снимкам и снятие скриншота. Доступ к другим разделам системы — приложениям, контактам, файловой системе — остаётся закрытым: полного захвата устройства уязвимость не даёт.
Тем не менее именно фотогалерея зачастую содержит наиболее чувствительную информацию: скриншоты паролей и документов, личные снимки, изображения банковских карт и чеков. Для сценариев бытового шпионажа или кражи телефона это критически важный вектор атаки.
Временная защита до выхода патча
До тех пор пока Meta не выпустит обновление WhatsApp с исправлением, рекомендуются следующие шаги:
- Ограничить доступ WhatsApp к галерее. Зайдите в «Настройки» → «Приложения» → WhatsApp → «Разрешения» → «Фото и видео» и установите значение «Отказать» или «Только при использовании». Это закрывает уязвимость, но лишает вас возможности отправлять медиафайлы напрямую из приложения.
- Следить за обновлениями WhatsApp в Google Play и устанавливать их немедленно после выхода.
- Не оставлять разблокированный смартфон без присмотра в ситуациях, где кто-то может воспользоваться этой схемой.
Для дополнительной защиты ваших данных при передаче по публичным сетям воспользуйтесь функциями конфиденциальности LiMP VPN — зашифрованный туннель исключает перехват трафика даже при подключении к ненадёжной точке доступа.
Почему это важнее, чем кажется
Экран блокировки принято считать первой линией физической защиты устройства. Уязвимости, частично обходящие её, опасны по нескольким причинам:
- Доверие к известному приложению. Пользователи не ожидают подобного от официального мессенджера и не принимают превентивных мер.
- Физический доступ — распространённый сценарий. Кражи, ситуации с близкими, утерянный телефон — всё это случаи, в которых уязвимость реально эксплуатируется без каких-либо технических средств.
- Нет явных следов. Просмотр превью через UI WhatsApp не оставляет записей в стандартных системных журналах, доступных рядовому пользователю Android.