Microsoft Defender ekibi, yaygın kullanılan bir Android SDK’sındaki kritik güvenlik açığını duyurdu. Açıklık, 50 milyonu aşkın kurulumu etkileyerek özel verilere yetkisiz erişim riskini ortaya çıkardı.
Yaygın olarak kullanılan ve EngageLab SDK olarak bilinen bir üçüncü taraf Android yazılım geliştirme kitinde (SDK) tespit edilen kritik bir güvenlik açığı ortaya çıktı. Microsoft Defender ekibinin raporuna göre, bu kusur Android güvenlik korumalı alanını atlayarak uygulamaların özel verilere yetkisiz erişim sağlamasına imkan tanıyor.
Microsoft’un raporu, EngageLab SDK’yı kullanan uygulamaların büyük bir kısmının kripto para ve dijital cüzdan ekosistemine ait olduğunu belirtti. Etkilenen cüzdan uygulamalarının 30 milyondan fazla kurulumu bulunurken, cüzdan dışı uygulamalarla birlikte bu sayı 50 milyonu aşıyor. Microsoft, SDK’nın savunmasız sürümlerini kullanan tüm uygulamaların Google Play Store’dan kaldırıldığını açıkladı. EngageLab ise güvenlik açığını gidermek amacıyla Kasım 2025’te 5.2.1 sürümünü yayınladı.
SDK’nın 4.5.4 sürümünde belirlenen bu sorun, bir ‘niyet yönlendirme’ (intent redirection) güvenlik açığı olarak tanımlandı. Bu tür bir açık, kötü amaçlı bir uygulama aracılığıyla SDK’nın entegre olduğu bir uygulamanın dahili dizinlerine erişilmesine ve hassas verilere yetkisiz erişime yol açabiliyor.
Güvenlik açığının kötü amaçlı bir amaçla kullanıldığına dair bir kanıt bulunmamakla birlikte, geliştiricilerin SDK’yı en kısa sürede güncellemeleri tavsiye ediliyor. Microsoft, bu tür üçüncü taraf SDK’lardaki zayıflıkların dijital varlık yönetimi gibi alanlarda büyük güvenlik etkileri yaratabileceği uyarısında bulundu.
