Kerngegevens
- Leverancier
- Product
- Android
- Soort software
- browser
- Getroffen versies
- Android 16, 16 QPR2 en 17 met patchniveau ouder dan 2026-11-01
- Oplossing
- Update beschikbaar
- Opgeloste versie
- Android beveiligingspatchniveau 2026-11-01
- CVE gepubliceerd
- 2 november 2026
- Gepubliceerd op LekkenRadar
- 4 november 2026
- Laatst gewijzigd bij NVD
- 4 november 2026
Simpel uitgelegd
Wat is er aan de hand?
In Android 16 en 17 met een patchniveau ouder dan 2026-11-01 zit een fout waarbij een rekensom met een te groot getal overloopt (integer-overloop); Google loste die op in beveiligingspatchniveau 2026-11-01. Daardoor kan het systeem gegevens naar een plek in het geheugen schrijven waar dat niet hoort. Een aanvaller met toegang tot het toestel kan hiermee meer rechten krijgen dan bedoeld. Volgens de gegevens zit de fout op meerdere plekken in Android.
Wie loopt risico?
Je loopt risico als je een toestel met Android 16, Android 16-qpr2 of Android 17 gebruikt. De aanvalsroute is lokaal: de aanvaller moet al code op het toestel kunnen uitvoeren, bijvoorbeeld via een app. Daarna zijn geen extra rechten en geen handeling van jou nodig. Er is geen aanwijzing dat het lek actief wordt misbruikt.
Wat moet je doen?
Controleer je patchniveau
Kijk in Instellingen bij Over de telefoon of Android-versie welk beveiligingspatchniveau je toestel heeft. Je bent beschermd vanaf 2026-11-01. Google legt uit hoe je je Android-versie controleert en bijwerkt (opent in een nieuw venster).
Installeer de update van je fabrikant
Installeer de beschikbare systeemupdate. Wanneer die komt, verschilt per fabrikant en toestel. De oplossing staat in het Android-beveiligingsbulletin van november 2026 (opent in een nieuw venster).
Beperk de blootstelling
Installeer alleen apps die je vertrouwt en uit betrouwbare winkels, zolang je toestel nog niet is bijgewerkt.
Dezelfde update lost meer lekken op
Het bulletin van november verhelpt in totaal ruim 200 lekken, waaronder CVE-2026-59016 en CVE-2026-59028. Met patchniveau 2026-11-05 zijn ze allemaal opgelost.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het lek betreft een schrijfactie buiten de grenzen van een buffer (out-of-bounds write, CWE-787). De oorzaak is een integer-overloop, waardoor een berekende grootte of positie niet klopt. Het gaat om meerdere plekken in Android, een specifiek onderdeel wordt niet genoemd. Misbruik leidt tot lokale rechtenverhoging zonder extra uitvoerrechten en zonder gebruikersinteractie. De CVSS-vector (AV:L/AC:L/PR:N/UI:N) geeft een lokale aanvalsroute met lage complexiteit, en een hoge impact op vertrouwelijkheid, integriteit en beschikbaarheid.
CVSS-vector (versie 3.1, basisscore 8,4, bron: CNA)
CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H- Zwakheid (CWE)
- CWE-787 · Schrijven buiten de grenzen van het geheugen
- Aanvalsroute
- Alleen met toegang tot het apparaat
- EPSS, kans op misbruik binnen 30 dagen
- 0,1%
- Aanvalscode openbaar
- Nee
Advies van de overheid
- NCSC (Nederland)Kans: Middel · Schade: HoogBekijk advies