Kebenaran aplikasi mudah alih Oktober 2026: empat tarikh yang mengubah kawalannya, dan semakan 20 minit di telefon sendiri

Android Security Bulletin bagi Oktober 2026 menyenaraikan 25 kelemahan (CVE) dan 7 daripadanya bertanda kritikal. Bulletin itu memakai patch level 2026-10-01, diterbitkan pada 5 Oktober 2026 dan dikemas kini pada 8 Oktober 2026. Empat daripada yang kritikal ialah kelemahan peningkatan keistimewaan (EoP) dalam komponen Bluetooth dan NFC — CVE-2026-55269, CVE-2026-55280, CVE-2026-58835 dan CVE-2026-58880 — dan ia menjejaskan Android 16 serta Android 17. Bulan ini juga menyaksikan tiga tarikh lain yang mengubah kawalan kebenaran aplikasi: 30 September, 1 Oktober dan 2 Oktober. Pos ini menyusun apa yang berubah, apa maksudnya bagi telefon di Malaysia, dan semakan yang boleh dibuat sendiri.

Empat tarikh: 30 September, 1 Oktober, 2 Oktober, 5 Oktober

30 September 2026 — perlindungan pengesahan pembangun (developer verification) Android mula berkuat kuasa bagi pengguna yang memasang aplikasi dari gedung yang menyertai program, di beberapa wilayah terpilih pada peranti Android yang diperakui. 1 Oktober 2026 — Google menerangkan enam ciri Advanced Protection, termasuk satu yang mengunci kebenaran kebolehcapaian. 2 Oktober 2026 — Apple mengumumkan kawalan tambahan untuk kebenaran Full Disk Access di macOS. 5 Oktober 2026 — bulletin keselamatan Android Oktober diterbitkan, kemudian dikemas kini pada 8 Oktober dengan pautan AOSP.

Bagi pengguna di Malaysia, tarikh 30 September itu yang paling dekat maksudnya. Pengesahan pembangun dijalankan berperingkat: gelombang pertama meliputi Brazil, Indonesia, Singapura dan Thailand, manakala liputan global disasarkan pada 2027. Ini bermakna pemasangan fail APK dari luar Gedung Play masih boleh dilakukan pada telefon di Malaysia sekarang, dan pemasangan dari mesej masih menjadi saluran utama perisian hasad. Jadi menyemak kebenaran di telefon sendiri bukan kerja tambahan, ia lapisan yang tinggal.

Enam ciri Advanced Protection yang diterangkan Google pada 1 Oktober itu bukan sekadar senarai nama. Ciri USB Protection menukar setiap sambungan USB baharu kepada mod cas sahaja selagi telefon berkunci, supaya kabel atau stesen cas awam yang diubah suai tidak boleh menarik data. Ciri Failed Authentication Lock mengunci tetapan dan aplikasi berkunci selepas beberapa percubaan pengesahan yang gagal. Ciri Intrusion Logging merekod peristiwa keselamatan pada peranti, manakala View Supporting Apps menunjukkan aplikasi yang menyokong sesuatu ciri. USB Protection dan Failed Authentication Lock kini terhad kepada Pixel 6 dan ke atas serta sebahagian peranti Android 17, jadi bukan setiap telefon menerima semuanya.

Kebenaran yang paling kerap disalah guna: akses kebolehcapaian

Dalam catatan 1 Oktober itu, Google menyatakan aplikasi yang menyalahgunakan AccessibilityService API kekal sebagai saluran utama penipuan dan penggodaman. Sebabnya jelas: perkhidmatan kebolehcapaian direka untuk berinteraksi terus dengan skrin, jadi aplikasi yang memegang kebenaran itu boleh membaca data sensitif di skrin, memasang perisian hasad, atau menghalang penyahpasangan dirinya sendiri. Android 17 menutup ruang itu: apabila Advanced Protection dihidupkan, akses AccessibilityService dihadkan kepada aplikasi yang disahkan dan dikategorikan sebagai alat kebolehcapaian sahaja.

Tiga kebenaran lain berada dalam kumpulan risiko yang sama: membaca SMS, akses notifikasi, dan kebenaran memasang aplikasi. Gabungan dua yang pertama memberi penyerang kod OTP dan pautan sekali guna tanpa perlu menyentuh telefon pemiliknya. Penapis gedung aplikasi tidak menangkap semuanya — Google melaporkan pada 19 Februari 2026 bahawa 1.75 juta aplikasi yang melanggar dasar dihalang daripada diterbitkan sepanjang 2025, dan lebih 80,000 akaun pembangun bermasalah diharamkan — jadi kebenaran yang diberi pada telefon sendiri tetap lapisan terakhir.

MyCERT memberi dua contoh yang dekat dengan pembaca pada tahun ini. Pada 4 Oktober 2026, advisory MA-1481.102026 menerangkan kempen ClickFix di laman sah yang diambil alih: pelawat melihat kotak "I'm not a robot" palsu yang menyuruh pengguna macOS membuka Terminal dan menampal arahan. Tiada aplikasi dipasang, tetapi pengguna dijadikan alat untuk memuat turun pencuri data. Pada 29 Ogos 2026, advisory MA-1480.082026 melaporkan laman parkir tiruan Park@Perak yang menyasarkan pengguna iPhone dengan rantaian eksploit berbilang peringkat. Dua-dua kes memakai corak sama: pengguna diminta membenarkan, memasang atau menjalankan sesuatu yang tidak pernah diminta oleh sistem.

Semak Android dalam 20 minit

Semakan ini tidak memerlukan alat tambahan. Lima tempat dalam tetapan Android sudah cukup untuk menutup sebahagian besar pendedahan:

• ▸ Permission manager: Settings > Security & privacy > Privacy > Permission manager. Semak lokasi, kamera, mikrofon, SMS dan fail, dan buang aplikasi yang tidak dikenali daripada senarai.
• ▸ Kebolehcapaian: Settings > Accessibility > Downloaded apps. Apa sahaja yang tersenarai di situ boleh membaca skrin; pada Android 17 dengan Advanced Protection, hanya alat kebolehcapaian yang disahkan kekal di senarai itu.
• ▸ Play Protect: Play Store > ikon profil > Play Protect > Settings, pastikan "Scan apps with Play Protect" dihidupkan. Play Protect boleh membuang atau menyahaktifkan aplikasi berbahaya, dan ia akan set semula kebenaran yang diberi kepada aplikasi yang tidak digunakan selama 3 bulan.
• ▸ Pemasangan dari luar: Settings > Apps > Special access > Install unknown apps. Matikan untuk pelayar web dan aplikasi mesej supaya pautan berniat jahat tidak boleh memasang fail .apk.
• ▸ Paras tampalan: Settings > About phone > Android version. Sasarkan tarikh 2026-10-01 atau lebih baru. Kalau telefon masih pada patch level September atau lebih lama, empat kelemahan kritikal Bluetooth dan NFC dalam bulletin Oktober masih terbuka.

Satu lagi perkara dalam halaman sokongan Play Protect: pada versi Android tertentu, Play Protect boleh menyekat pemasangan aplikasi yang tidak disahkan tetapi meminta kebenaran peranti yang sensitif — kebenaran yang paling kerap disalah guna oleh penipu untuk jenayah kewangan. Ini bermakna mesej seperti "aplikasi tidak boleh dipasang" selalunya bukan kerosakan telefon, tetapi penapis yang berfungsi.

Untuk pengguna yang lebih teknikal, dua arahan ADB ini menjawab soalan yang sama dengan lebih tepat: senarai aplikasi pihak ketiga yang dipasang, dan kebenaran yang benar-benar telah diberikan kepada satu pakej.

# senarai aplikasi pihak ketiga (perlu USB debugging)
adb shell pm list packages -3

# semak kebenaran yang telah diberikan untuk satu pakej
adb shell dumpsys package com.contoh.app | grep -i "granted=true"

iPhone: laporan 7 hari yang jarang dibuka

iOS tidak memakai model kebenaran yang sama seperti Android, tetapi ia menyediakan satu alat yang berguna dan jarang dihidupkan: App Privacy Report. Hidupkan melalui Settings > Privacy & Security > App Privacy Report > Turn on App Privacy Report. Selepas beberapa hari, laporan itu menunjukkan aplikasi mana yang menggunakan kamera, mikrofon dan lokasi, serta domain yang dihubungi oleh setiap aplikasi. Semakan pada skrin ini menjawab soalan yang lebih tepat daripada senarai kebenaran biasa: adakah aplikasi itu benar-benar melakukan apa yang dijanjikan? Untuk mengehadkan perkongsian dengan lebih menyeluruh, Settings > Privacy & Security > Safety Check meletakkan semakan itu dalam satu tempat.

Kenyataan Apple pada 2 Oktober 2026 memberi gambaran hala tuju. Full Disk Access di macOS — kebenaran yang membuka hampir semua fail, mel, mesej dan sejarah pelayaran kepada aplikasi sandaran — akan ditambah kawalan supaya ia hanya boleh diberikan melalui tindakan pengguna yang sangat jelas. Apple menyebut agen AI sebagai alasan: semakin mampu agen itu bertindak sendiri, semakin besar risiko kebenaran seluas itu. Arah yang sama kelihatan pada Android 17, iaitu kebenaran luas dipindahkan daripada keputusan sekali klik kepada keputusan yang disemak.

APK dari mesej: tiga tabiat yang menyelamatkan

• ▸ Jangan pasang fail .apk yang dihantar melalui WhatsApp, Telegram atau SMS, walaupun pengirimnya dikenali. Minta pautan Gedung Play atau laman rasmi syarikat itu.
• ▸ Sebelum memasang dari Gedung Play, buka bahagian "Data safety" pada halaman aplikasi dan semak nama penerbit. Aplikasi baharu dengan penilaian sedikit yang meminta akses SMS dan kebolehcapaian adalah gabungan yang patut dielakkan.
• ▸ Buang aplikasi yang tidak digunakan lebih 3 bulan. Selain mengurangkan permukaan serangan, Play Protect akan set semula kebenaran aplikasi yang lama tidak digunakan.

Satu tabiat bulanan yang mencukupi

Jadikan tarikh 1 setiap bulan sebagai masa kemas kini: pasang kemas kini Android atau iOS, semak Permission manager dan senarai Accessibility, buka App Privacy Report, dan bandingkan patch level telefon dengan bulletin terbaru. Telefon yang tidak lagi menerima kemas kini keselamatan selama lebih setahun bukan pilihan yang sesuai untuk perbankan dalam talian atau dompet digital. Kalau ada aplikasi yang tidak dikenali dalam senarai kebolehcapaian, jangan hanya matikan kebenarannya — nyahpasang, kemudian semak penyata dan log masuk akaun yang pernah digunakan pada telefon itu.