本月通用公告仅列 CVE-2026-0073，一项 System Critical / RCE；Pixel 没有新增表格 CVE。其修复聚焦密钥比较结果：密码库函数的返回值不能直接按普通布尔值理解。Android 公告；Pixel 公告
本月概况
| 来源 | 首次发布日期 | 独立 CVE 数 |
|---|---|---|
| Android | 2026-05-04 | 1 |
| Pixel 补充公告 | 2026-05-05 | 0 |
两份公告合并去重后共 1 个 CVE。同一 CVE 的多个组件条目合并展示；Google Play 系统更新中的重复清单不额外计数。
风险判断与补丁分析
CVE-2026-0073：只有明确的相等值才能通过认证
adbd_tls_verify_cert 原先直接以 EVP_PKEY_cmp 返回值作为 if 条件，非零错误值也可能进入 verified 分支。补丁保存返回结果，仅在等于 1 时视为匹配，其他结果记录为不匹配。根因是多值比较 API 被误用为布尔认证判断，失败语义被错误提升为成功。CNA 明确涉及无线 ADB 双向认证绕过、近距离或相邻代码执行，执行上下文为 shell 用户，无额外执行权限且无需交互；不能扩展为默认关闭调试的任意设备均暴露该服务。公开补丁
暴露面与后果权限分别记录
无需额外执行权限描述的是攻击所需条件，shell 是成功后的执行上下文，两者不能互换成 Root 或 system_server。评估时先确认无线调试服务是否启用和可达，再判断认证修复覆盖。
更新与验证建议
- 通用本项对应
2026-05-01，Pixel 公告更新级别为2026-05-05；核对实际 ADB 模块及设备发布说明。 - 认证回归分别覆盖匹配、不匹配和比较错误，确认只有返回 1 才进入 verified 分支。
- 核对无线调试暴露与授权设备，按实际服务可达性评估风险。
逐项 CVE
以下每项保留十个字段，包含漏洞成因分析。AOSP 已更新分支不等同于全部受影响机型；组件章节的总体风险描述不用于推断每个漏洞的攻击前提。利用状态结合原公告及截至文章日期的 CISA KEV 收录日期；未披露不等于未被利用。
CVE-2026-0073 · System Critical
| CVE | CVE-2026-0073 |
|---|---|
| 组件 | System |
| 官方等级 | Critical（严重）；按 Google 公告保留，不用 CVSS 分数替换 |
| 影响范围 | 公告列出已更新的 AOSP 分支：14, 15, 16, 16-qpr2（这不是全部受影响设备清单）；CNA：Google / Android — 16-qpr2、16、15、14。 |
| 攻击入口与前提 | 触发位置：adbd_tls_verify_cert of auth.cpp；入口：近距离或相邻攻击面（非任意互联网入口）；攻击位置：远程（具体传输通道以逐项描述为准）；后果执行上下文：Shell 用户（不是所需攻击权限）；所需执行权限：无需额外执行权限；用户交互：不需要。 |
| 安全影响 | 远程代码执行（RCE） |
| 漏洞成因分析 | adbd_tls_verify_cert 原先直接以 EVP_PKEY_cmp 返回值作为 if 条件，非零错误值也可能进入 verified 分支。补丁保存返回结果，仅在等于 1 时视为匹配，其他结果记录为不匹配。根因是多值比较 API 被误用为布尔认证判断，失败语义被错误提升为成功。CNA 明确涉及无线 ADB 双向认证绕过、近距离或相邻代码执行，执行上下文为 shell 用户，无额外执行权限且无需交互；不能扩展为默认关闭调试的任意设备均暴露该服务。 |
| 利用状态 | 所查 Google 公告未披露该项在野利用，且 CISA KEV 无截至文章日期的收录记录；不代表不存在利用；公开 PoC 状态未由这些来源确认。 |
| 补丁状态 | Android 公告已将其列入 2026-05-01 补丁级别的修复清单；公告附有公开参考/补丁链接；是否已审阅代码见本月重点分析；公告发布修复不等于某台设备已经安装。 |
| 证据链接 | Android 公告 · CVE 官方记录 · CNA 原始 JSON · 补丁/参考 1 |
CNA 逐项描述（英文证据）：In adbd_tls_verify_cert of auth.cpp, there is a possible bypass of wireless ADB mutual authentication due to a logic error in the code. This could lead to remote (proximal/adjacent) code execution as the shell user with no additional execution privileges needed. User interaction is not needed for exploitation.
来源与说明
- Android Security Bulletin — 2026-05
- Pixel Update Bulletin — 2026-05
- CVE Program 官方记录：用于逐项影响范围、入口与前提，原始记录中未公开的内容保持未知。
- CISA Known Exploited Vulnerabilities：仅用于确认已公开收录的在野利用，不作为未被利用的证明。
Google 公告数据与原文归 Android Open Source Project / Google 及各原作者所有；本页按公告重新编排、合并并附加分析。Google 内容许可说明。CVE 描述来自各 CNA，经 CVE Program 发布。