SamTimer

Samsung Galaxy デバイス向けのワンタップ Android root。CVE-2026-98260 タイマーエクスプロイト（posix-cpu-timers UAF）と、Samsung KDP/RKP/DEFEX 互換の KernelSU-Next レイトロードモジュールを中心に構築されています。

CVE-2026-98260-aurora リポジトリをベースにしています — そのタイマー LPE 移植 （real-cred ゼロ書き込み / fake-cred ksud レイトロードチェーン）が app/src/main/cpp/timer.c の進化元です。

[!WARNING] 所有している、または明示的にテストを許可されたデバイス向けです。このエクスプロイトは 確率的なカーネル UAF です — 実行に失敗すると、次回の再起動までシステムが不安定な 状態になる可能性があります。再起動すれば、電話は常にクリーンで root 化されていない 状態に復元されます。

概要

エクスプロイト	CVE-2026-98260（timer.c ペイロード、Gradle によりビルド）
root モジュール	KernelSU-Next 3.4.2（ksud-next-generic-kdp、android14-6.1 no-patch-text）
実行コンテキスト	Shizuku シェル（uid 2000）
su 認可	KernelSU-Next マネージャー（com.rifsxd.ksunext）、ドメイン u:r:ksu:s0
root の有効期間	起動ごと（エフェメラル — 再起動でクリア）

SM-S921N（e1s、Exynos 2400）、カーネル 6.1.162-android14-11、OneUI 9 でテスト済み。

機能

• Material 3 Compose UI（英語 / 韓国語、システムロケールに追従）
• ライブ root バッジ — ロードされた KernelSU モジュールを数秒ごとに検出
• 実行前の確認ダイアログ。既に root 化されている場合も 再 root ボタンは 利用可能
• 再起動後の自動 root — 起動レシーバー → WorkManager チェーンが Shizuku を 待機し、その後進捗通知付きでチェーンをヘッドレス実行します。 実行に失敗すると、このオプション自体が無効化されます（ブートループ保護）
• エクスプロイトペイロードは Gradle により自動コンパイルされます — assembleDebug は常に最新のバイナリを同梱します

要件

1. Shizuku が実行中であること（ワイヤレスデバッグ）。自動 root の場合: Shizuku の起動時自動開始を有効にし、一度 SamTimer に権限を付与してください。
2. KernelSU-Next マネージャー（com.rifsxd.ksunext）がインストールされている こと — su はマネージャーが認可したアプリにのみ付与されます。

ビルド

./gradlew assembleDebug
# APK: app/build/outputs/apk/debug/app-debug.apk

• app/src/main/cpp/timer.c は buildPayload タスクによって app/src/main/jniLibs/arm64-v8a/libtimer.so にコンパイルされます (NDK は自動検出: ANDROID_NDK_HOME → local.properties → SDK → ~/android-ndk-r27c)
• libksud.so はビルド済みの KernelSU-Next late-load デーモンです
• ./gradlew clean は生成されたペイロードを含むすべての出力を削除します (ビルド済みの libksud.so は保持されます)

使用方法

1. Shizuku を起動し、SamTimer を開きます
2. Root now をタップ → 確認 → 1〜7 分待ちます
3. KernelSU-Next マネージャーでアプリに su を付与します
4. 必要に応じて Auto-root after reboot を有効にします

チェーン

1. timer.c は kmem トレース経由で子プロセスの cred をリークし、DEFEX の creds_hash スロットをクリアし、偽造された uid-0 の cred をインストールします (selinux_state への書き込みは -7 に着地するため initialized は生き残ります — オフセット 0 への 8 バイトのゼロ書き込みはポリシーロード済みフラグを破壊し、 すべてのプロパティ書き込みを壊します)
2. root ワーカーは u:r:init:s0 を採用し、プライベートマウント名前空間内で ksud を /system/bin/logcat 上にバインドし (KDP セーフな exec)、 late-load --package-name com.rifsxd.ksunext を実行します
3. KernelSU-Next がロードされ (no-patch-text ビルド — ライブテキストパッチングは Exynos 2400 でパニックを起こします)、SELinux は ksud によって enforcing に復元されます
4. 成功は KSU ドライバの reboot() バックドア ioctl を通じて検証されます
5. 失敗した plant のゾンビは、再起動まで待機中のホルダープロセスによって reap されずに 保持されます (reap するとライブカーネルメモリが破壊されます — 生かしておいてください)

クレジット / 上流

• CVE-2026-98260-aurora — このアプリは aurora リポジトリの timer LPE ポートを基に構築されています: timer.c ペイロード (実 cred のゼロ書き込みと 偽 cred / ksud late-load チェーン) はそこで始まり、このプロジェクトでは app/src/main/cpp/timer.c として存在しています
• BuSung-dev/Root-My-Galaxy — このアプリが踏襲する検証済みの Samsung KSU late-load フロー (su_daemon.c の形、.ksud-stage ステージング、マネージャーのペアリング)
• BuSung-dev/Root-My-Galaxy-Payloads — ターゲットごとの ksud/kernelsu.ko ペアと Samsung KDP/RKP/DEFEX ポート 手法 (正確なリリースの vermagic、Exynos 向け no-patch-text)
• rushiranpise/Root-My-Galaxy-Payloads — KernelSU 3.2.5〜3.4.2、KernelSU-Next、ReSukiSU 向けの Samsung デルタパッチ; ここでは ksud-next-generic-kdp (KernelSU-Next 3.4.2) を使用
• tiann/KernelSU · KernelSU-Next/KernelSU-Next — root モジュールの系譜
• DirtyFrag (CVE-2026-43284、DFRoot 系譜) — autorun / failed-run-interlock パターン
• Shizuku — PC なしでの shell-uid 実行

免責事項

自己責任で使用してください。作者は、データ損失、文書化不能なデバイス、その他このツールを向けたハードウェアに生じたいかなる事象についても責任を負いません。