Een kritieke Android-kwetsbaarheid kan een aanvaller op afstand code laten uitvoeren op een telefoon zonder enige gebruikersactie, zei Google in zijn beveiligingsbulletin van november.
De kwetsbaarheid, CVE-2026-58868, treft Android 14 tot en met 17. Telefoons krijgen de oplossing met beveiligingspatchniveau 2026-11-01 of later, dat door fabrikanten en providers volgens hun eigen schema wordt verspreid.
Op 4 november meldde het bulletin van Google geen aanvallen die de kwetsbaarheden misbruikten. Geen van deze kwetsbaarheden stond in het Known Exploited Vulnerabilities-catalogus dat door de Amerikaanse Cybersecurity and Infrastructure Security Agency (CISA) wordt bijgehouden, volgens de update van 3 november.
De kwetsbaarheid betreft een mogelijke out-of-bounds write veroorzaakt door een heap buffer overflow in de functie onOutputReceived in het bestand FrameDecoder.cpp. Noch het bulletin noch het CVE-record vermeldt hoe een aanvaller die code zou bereiken.
Google’s classificatie als “Critical” gaat uit van de veronderstelling dat de in Android en Google’s diensten ingebouwde beschermingen uitgeschakeld of omzeild zijn.
Oudere versies, zoals Android 12 en 13, worden niet als getroffen vermeld. De gegevens van Google geven niet aan of deze oudere versies de kwetsbaarheid bevatten.
Hoe uw telefoon te controleren
De hulppagina van Google geeft deze stappen:
- Open de app Instellingen.
- Tik op Over de telefoon, of Over de tablet, en vervolgens op Android-versie.
- Zoek de data voor de Android-beveiligingsupdate en de Google Play-systeemupdate.
De datum van de Android-beveiligingsupdate is het beveiligingspatchniveau van de telefoon. Een datum van 2026-11-01 of later dekt CVE-2026-58868 en de andere kwetsbaarheden in de Framework-, System- en Android-runtimecomponenten.
Een datum van 2026-11-05 of later dekt alle kwetsbaarheden in het novemberbulletin, inclusief die in de kernel en in onderdelen van Arm, Imagination Technologies, MediaTek, Unisoc en Qualcomm.
Google hanteert twee data zodat fabrikanten een set fixes die voor alle Android-apparaten gemeenschappelijk is eerder kunnen verspreiden. Google moedigt hen aan om alle fixes uit het bulletin op te nemen.
Telefoons met Android 10 of hoger kunnen sommige fixes ook via Google Play-systeemupdates ontvangen. De lijst voor deze updates deze maand bevat een andere Critical-kwetsbaarheid, CVE-2026-58876.
CVE-2026-58868 staat niet op die lijst, dus voor die kwetsbaarheid moet u de datum van de Android-beveiligingsupdate controleren.
Het bulletin geeft geen workaround voor telefoons die de update nog niet kunnen installeren.
Een remote denial-of-service-kwetsbaarheid in Androids sms-code
Een andere Critical-kwetsbaarheid, CVE-2026-58882, kan volgens het CVE-record een remote denial-of-service-aanval mogelijk maken zonder gebruikersinteractie. Deze zit in decodeWapPdu, een functie in Androids code voor WAP Push-berichten die via sms binnenkomen.
Op 29 oktober publiceerde een onderzoeker die als Mark B werkt een write-up met de titel “SMS of Death” over een bug in dezelfde functie. Noch het bulletin noch het CVE-record geeft aan of CVE-2026-58882 die bug is.
Één verkeerd gevormd WAP Push-bericht laat com.android.phone crashen en beëindigt elke actieve oproep, inclusief noodoproepen, aldus de write-up. In tests op meerdere telefoonmodellen trad de crash elke keer op.
De aanvaller heeft alleen het telefoonnummer van het doelwit nodig, en het bericht verschijnt nooit in de inbox. De telefoon probeert het bericht telkens opnieuw te verwerken bij het opstarten, dus hij kan bij elke start blijven crashen totdat het bericht wordt verwijderd.
Er is een proof-of-concept-app openbaar die een dergelijk bericht van de ene telefoon naar de andere stuurt. Volgens de onderzoeker draaien telefoons met Android 12 en 13 dezelfde code maar ontvangen zij niet de fix die nieuwere versies wel krijgen.
Andere Critical-kwetsbaarheden
Het novemberbulletin van Google noemt 216 kwetsbaarheden, waarvan 23 als Critical zijn beoordeeld. Twee andere Critical-kwetsbaarheden kunnen remote code-executie mogelijk maken: CVE-2026-58876 en CVE-2026-58936, beide in de System-component van Android.
Zes Critical-kwetsbaarheden bevinden zich in de kernel, twee daarvan in Bluetooth-code. De ernstigste kernel-kwetsbaarheid kan een remote aanvaller verhogen in privileges zonder gebruikersinteractie.
Het patchniveau 2026-11-05 verhelpt ook Critical-kwetsbaarheden in MediaTek-modemcode en in een closed-source component van Qualcomm. In zijn novemberbulletin omschrijft MediaTek zijn Critical-modemkwetsbaarheden als out-of-bounds writes en geeft aan dat het niet op de hoogte is van actief misbruik.
