Kerngegevens
- Leverancier
- Product
- Android
- Soort software
- browser
- Getroffen versies
- Android 14, 15, 16 en 16 QPR2 met patchniveau ouder dan 2026-06-01
- Oplossing
- Update beschikbaar
- Opgeloste versie
- Android 14, 15, 16 en 16 QPR2 patchniveau 2026-06-01 Android Security Bulletin juni 2026 (opent in een nieuw venster)
- CVE gepubliceerd
- 1 juni 2026
- Op de KEV-lijst sinds
- 2 juni 2026
- Gepubliceerd op LekkenRadar
- 5 november 2026
- Laatst gewijzigd bij NVD
- 5 november 2026
Simpel uitgelegd
Wat is er aan de hand?
In het Android Framework van Android 14, 15, 16 en 16 QPR2 zit een rekenfout waarbij een getal te groot wordt voor de ruimte die ervoor is gereserveerd (een integeroverloop); Google loste die op in beveiligingspatchniveau 2026-06-01. Daardoor kan code worden uitgevoerd die er niet hoort te draaien. Een aanvaller die al toegang heeft tot het toestel, kan zo meer rechten krijgen. Volgens Google wordt het lek beperkt en gericht misbruikt; het staat sinds juni 2026 op de KEV-lijst van actief misbruikte lekken.
Wie loopt risico?
Het lek treft Android 14, 15, 16 en 16-qpr2. De aanval verloopt lokaal: de aanvaller moet dus al code op het toestel kunnen laten draaien, bijvoorbeeld via een kwaadaardige app. Daarna is er geen extra handeling van de gebruiker nodig. Gebruik je een van deze Android-versies, dan loop je mogelijk risico.
Wat moet je doen?
Update installeren
| Product | Opgelost in | Update | Download |
|---|---|---|---|
| Android 14, 15, 16 en 16 QPR2Update via de fabrikant van je toestel (Instellingen > Systeem > Software-update) | patchniveau 2026-06-01 | Android Security Bulletin juni 2026 (opent in een nieuw venster) |
Een latere update van de leverancier lost dit lek ook op. Controleer altijd het advies van de leverancier.
Controleer je patchniveau
Kijk in Instellingen bij Over de telefoon welk beveiligingspatchniveau je toestel heeft. Met 2026-06-01 of later is dit lek opgelost. Bij een lager patchniveau loop je risico.
Installeer de update van je fabrikant
Installeer de beschikbare systeemupdate. De fix staat in het Android-beveiligingsbulletin van juni 2026, zie de update hierboven. Wanneer een update voor jouw toestel komt, hangt af van de fabrikant of provider.
Geef zakelijke toestellen voorrang
Filter in je mobielbeheer op toestellen met een patchniveau ouder dan 2026-06-01. Dit lek wordt actief misbruikt, dus werk die toestellen als eerste bij.
Beperk de blootstelling
Installeer alleen apps uit betrouwbare bronnen en laat Google Play Protect aanstaan. Krijgt een toestel geen updates meer, gebruik het dan niet voor gevoelige taken en overweeg het te vervangen.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het gaat om een integeroverloop (CWE-190) op meerdere plaatsen in het Android Framework. Een rekenkundige bewerking levert een waarde op die buiten het bereik van het gebruikte datatype valt, waardoor code kan worden uitgevoerd. De CVSS-vector (AV:L/AC:L/PR:N/UI:N) wijst op een lokale aanvalsroute met lage complexiteit, zonder vereiste rechten en zonder interactie van de gebruiker. Het gevolg is lokale rechtenverhoging met grote impact op vertrouwelijkheid, integriteit en beschikbaarheid. De CNA geeft het lek een CVSS-score van 8,4. Het lek staat sinds juni 2026 op de KEV-lijst van actief misbruikte lekken.
CVSS-vector (versie 3.1, basisscore 8,4, bron: CNA)
CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H- Zwakheid (CWE)
- CWE-190 · Integeroverloop (integer overflow)
- Aanvalsroute
- Alleen met toegang tot het apparaat
- EPSS, kans op misbruik binnen 30 dagen
- 1,9%
- Aanvalscode openbaar
- Ja
- Op de KEV-lijst van CISA
- Sinds 2 juni 2026
- Deadline van CISA
- 5 juni 2026
- Gebruikt door ransomwaregroepen
- Niet bekend