Kerngegevens
- Leverancier
- Product
- Android
- Soort software
- browser
- Getroffen versies
- Android 15, 16, 16 QPR2 en 17 met patchniveau ouder dan 2026-11-01
- Oplossing
- Update beschikbaar
- Opgeloste versie
- Android beveiligingspatchniveau 2026-11-01
- CVE gepubliceerd
- 2 november 2026
- Gepubliceerd op LekkenRadar
- 4 november 2026
- Laatst gewijzigd bij NVD
- 4 november 2026
Simpel uitgelegd
Wat is er aan de hand?
In Android 15 tot en met 17 met een patchniveau ouder dan 2026-11-01 zit een fout in het onderdeel RegisteredAidCache, in de functie resolveAidConflictLocked; Google loste die op in beveiligingspatchniveau 2026-11-01. Door deze fout kan een controle op rechten worden omzeild doordat het systeem namens een andere partij handelt (een zogeheten confused deputy). Zo kan een aanvaller meer rechten krijgen dan bedoeld.
Wie loopt risico?
Het lek treft Android-apparaten met Android 15, 16 (ook 16-qpr2) en 17. De aanvaller moet lokaal op het apparaat actief zijn, bijvoorbeeld met een app of code die al draait. Je hoeft zelf niets te doen of aan te klikken om risico te lopen. Er zijn geen aanwijzingen dat het lek actief wordt misbruikt en er is geen openbaar exploit bekend.
Wat moet je doen?
Controleer je patchniveau
Kijk in Instellingen bij Over de telefoon of Android-versie welk beveiligingspatchniveau je toestel heeft. Je bent beschermd vanaf 2026-11-01. Google legt uit hoe je je Android-versie controleert en bijwerkt (opent in een nieuw venster).
Installeer de update van je fabrikant
Installeer de beschikbare systeemupdate. Wanneer die komt, verschilt per fabrikant en toestel. De oplossing staat in het Android-beveiligingsbulletin van november 2026 (opent in een nieuw venster).
Beperk de blootstelling
Installeer alleen apps die je vertrouwt en uit betrouwbare winkels, zolang je toestel nog niet is bijgewerkt.
Dezelfde update lost meer lekken op
Het bulletin van november verhelpt in totaal ruim 200 lekken, waaronder CVE-2026-59014 en CVE-2026-59016. Met patchniveau 2026-11-05 zijn ze allemaal opgelost.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
De fout zit in resolveAidConflictLocked in RegisteredAidCache.java. Door een confused deputy-situatie (CWE-441) kan een toestemmingscontrole worden omzeild. Het gevolg is lokale escalatie van rechten zonder dat extra uitvoeringsrechten nodig zijn. Gebruikersinteractie is niet nodig. De CVSS 3.1-vector (AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) geeft een score van 8,4, afkomstig van de CNA. Getroffen zijn Android 15, 16, 16-qpr2 en 17.
CVSS-vector (versie 3.1, basisscore 8,4, bron: CNA)
CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H- Zwakheid (CWE)
- CWE-441 · Onbedoelde tussenpersoon (confused deputy)
- Aanvalsroute
- Alleen met toegang tot het apparaat
- EPSS, kans op misbruik binnen 30 dagen
- 0,1%
- Aanvalscode openbaar
- Nee
Advies van de overheid
- NCSC (Nederland)Kans: Middel · Schade: HoogBekijk advies