Samsung Internet: comiesięczna aktualizacja zabezpieczeń nigdy do niego nie dociera

Raz w miesiącu pojawia się to samo powiadomienie. Dostępna jest aktualizacja oprogramowania o wielkości kilkuset megabajtów, wymagające ponownego uruchomienia urządzenia. Następnie w menu obok poprawki zabezpieczeń wyświetla się aktualna data, co sprawia wrażenie, że sprawa została załatwiona.

W przypadku większości systemu jest to prawda. W lipcu aktualizacja firmy Samsung trafiła najpierw do najnowszych modeli.

Jedna z najważniejszych części urządzenia nigdy nie otrzymuje tej poprawki. Wstępnie zainstalowana przeglądarka pobiera aktualizacje z innego źródła – poprzez Sklep Play i Sklep Galaxy. Są to dwie odrębne ścieżki, a użytkownik jest informowany jedynie o jednej z nich.

Nie da się z zewnątrz ustalić, jak stara jest obecnie podstawowa wersja tej przeglądarki. Nie dlatego, że nikogo to nie obchodzi, ale dlatego, że firma Samsung nie opublikowała jej dla systemu Android od ponad dwóch lat.

Znaczenie tej liczby staje się jasne, gdy przyjrzy się Pan/Pani, co kryje się wewnątrz takiej przeglądarki.

Przeglądarka firmy Samsung nie została stworzona od podstaw. Opiera się ona na Chromium – platformie open source, na której opierają się również przeglądarki Google Chrome, Edge i Opera. Jedna z jej części nosi nazwę V8 i służy do wykonywania kodu JavaScript, czyli kodu programowego, który zawiera niemal każda strona internetowa. Luki w zabezpieczeniach V8 są zatem szczególnie kłopotliwe – wystarczy otworzyć przygotowaną stronę.

Takie luki są wykrywane i naprawiane, a po usunięciu są publicznie dokumentowane wraz z opisem. Każdy, kto chce zaatakować urządzenie, na którym nie zainstalowano jeszcze poprawki, nie musi odkrywać niczego nowego. Wystarczy, że zapozna się z dostępnymi informacjami. W branży nazywa się to „N-day”, w przeciwieństwie do „zero-day”, o którym nikt jeszcze nie wie.

Jak to wygląda w praktyce, pokazała firma zajmująca się bezpieczeństwem OtterSec 1 kwietnia 2026 r. we współpracy z grupą Crusaders of Rust. Aby to osiągnąć, badacze musieli zrobić dokładnie to, czego zwykły użytkownik nie jest w stanie wykonać. Pobrali aplikację przeglądarki z telefonu Galaxy S25 i przeszukali pliki programu w poszukiwaniu numeru wersji. Odkryli, że była to wersja V8 13.6, która w tamtym momencie miała już pół roku.

Następnie opracowali atak wykorzystujący lukę, którą firma Google już dawno załatała w przeglądarce Chrome. Ostatecznie udało im się uruchomić własny kod maszynowy w przeglądarce i wykonać obcy kod w imieniu dowolnych stron internetowych. W ten sposób specjalnie przygotowana strona mogłaby uzyskać dostęp do treści innych otwartych stron, na przykład skrzynki pocztowej lub konta w sklepie internetowym.

Ten ostatni krok zadziałał wyłącznie dlatego, że system Android izoluje przeglądarkę w sposób mniej rygorystyczny niż komputer. Na komputerze praktycznie każda strona internetowa otrzymuje własny proces. W systemie Android dotyczy to jedynie stron wymagających logowania oraz kilku specjalnie oznaczonych stron. Pozostałe strony dzielą jeden proces.

W badaniach nad bezpieczeństwem istnieje specjalna nazwa określająca ten odstęp. Jest to „luka w aktualizacjach” (patch gap) – okres między momentem naprawienia luki na wyższym szczeblu w projekcie Chromium a momentem, w którym poprawka dociera do użytkownika. Przez cały czas trwania tego okresu zestaw instrukcji pozostaje ogólnodostępny, podczas gdy urządzenie jest nadal narażone na ataki. W przypadku samej przeglądarki Chrome okres ten skraca się do kilku dni, ponieważ Google samodzielnie tworzy i dostarcza ten sam kod. W przypadku przeglądarki, którą utrzymuje inny dostawca i która jest dystrybuowana za pośrednictwem innego kanału, wszystko sprowadza się do tego, jak szybko ten dostawca wprowadzi poprawki.

Ta konkretna luka została już usunięta. Otwarte pozostają jednak wszystkie luki, które pojawiły się po niej.

W niniejszym artykule podjęliśmy próbę samodzielnego udzielenia odpowiedzi na to pytanie. Którą wersję podstawową Chromium firma Samsung dostarcza obecnie do urządzeń z serii Galaxy?

Nie ma jednoznacznej odpowiedzi. Publicznie gromadzone identyfikatory przeglądarek – ciągi znaków, za pomocą których urządzenia identyfikują się w sieci – są ze sobą sprzeczne w odniesieniu do tej samej wersji aplikacji. Niektóre wskazują wersję bazową z grudnia 2025 r., inne – znacznie nowszą. Zbiory tego typu zawierają również fałszywe i generowane automatycznie wpisy, więc nie stanowią one dowodu.

Pozostaje zatem producent, a w przypadku systemu Android producent nie udziela żadnych informacji. Informacje o zmianach sugerują, że firma Samsung wprowadza poprawki do własnej kompilacji; regularnie pojawia się wzmianka o załatanych lukach w zabezpieczeniach. Nie podaje się jednak, które z nich zostały załatane.

Nie jest to kwestia drugorzędna. W dniu 8 czerwca 2026 r. firma Google naprawiła lukę w silniku V8, ocenioną jako bardzo poważną, i odnotowała, że kod wykorzystujący tę lukę był już w obiegu. Nie udostępniono publicznie informacji, czy i kiedy ta poprawka trafiła do przeglądarki firmy Samsung.

W przypadku kompilacji tej samej przeglądarki dla systemu Windows uzyskanie odpowiedzi na to pytanie zajęłoby dwie minuty. Firma Samsung umieszcza tę informację na własnej stronie.

W praktyce nie oznacza to, że każdy telefon z serii Galaxy jest narażony na zagrożenie. Oznacza to natomiast, że nikt spoza firmy Samsung nie może sprawdzić, czy tak jest. W przypadku programu, który codziennie otwiera treści pochodzące z Internetu i jest preinstalowany na kilkuset milionach urządzeń, różnica ta jest większa, niż mogłoby się wydawać.

Sprawdzenie, która kompilacja działa na Państwa urządzeniu, zajmuje pół minuty. Na ekranie głównym lub w szufladzie aplikacji proszę nacisnąć i przytrzymać ikonę przeglądarki, a następnie zazwyczaj dotknąć małej litery „i”. Informacje o aplikacji zawierają numer wersji. Ta sama wartość jest widoczna w wpisie w Sklepie Play.

Informacja o tym, czy czeka na Pana aktualizacja, pojawia się również w Sklepie Play lub w Galaxy Store. Jeśli widoczny jest przycisk aktualizacji, oznacza to, że coś uległo zmianie.

To, co ten numer mówi o bazie Chromium leżącej u podstaw aplikacji, pozostaje kwestią otwartą. I właśnie o to chodzi.

Każdy, kto uważa to za zbyt niejasne, może zainstalować drugą przeglądarkę. Przeglądarki Chrome i Firefox pochodzą bezpośrednio od ich twórców, podają numer wersji w menu i aktualizują swoje podstawy niezależnie od harmonogramu firmy Samsung. Można je ustawić jako domyślne w ustawieniach systemu Android w sekcji „Aplikacje domyślne”.

Każdy, kto chce pozostać przy przeglądarce Samsunga – a istnieją ku temu dobre powody, między innymi wbudowany bloker reklam oraz integracja z usługą Samsung Pass – powinien przynajmniej pozostawić włączoną opcję automatycznych aktualizacji w sklepie. Wówczas każda wersja wydana przez firmę Samsung zostanie zainstalowana bez konieczności podejmowania jakichkolwiek działań. Na tym etapie nie ma już możliwości sprawowania kontroli.

Comiesięczna aktualizacja zabezpieczeń nadal ma znaczenie. Usuwa ona luki w systemie, do których nie dociera żadna aktualizacja przeglądarki. Po prostu nie odpowiada ona za wszystko, co na urządzeniu korzysta z Internetu.