Kerngegevens
- Leverancier
- Product
- Android
- Soort software
- browser
- Getroffen versies
- Android (kernel) toestellen met patchniveau ouder dan 2026-11-05
- Oplossing
- Update beschikbaar
- Opgeloste versie
- Android beveiligingspatchniveau 2026-11-05
- CVE gepubliceerd
- 2 november 2026
- Gepubliceerd op LekkenRadar
- 4 november 2026
- Laatst gewijzigd bij NVD
- 4 november 2026
Simpel uitgelegd
Wat is er aan de hand?
In de kernel van Android, het hart van het besturingssysteem, zit bij toestellen met een patchniveau ouder dan 2026-11-05 een fout waarbij geheugen nog wordt gebruikt nadat het is vrijgegeven (use-after-free); Google loste die op in beveiligingspatchniveau 2026-11-05. Een aanvaller met toegang tot het toestel kan hiermee meer rechten krijgen dan bedoeld. Daarvoor zijn geen extra rechten nodig en hoeft de gebruiker niets te doen.
Wie loopt risico?
Je loopt risico als je een Android-toestel gebruikt dat nog niet is bijgewerkt met de beveiligingsupdate waarin dit lek is verholpen. De aanval is lokaal: een aanvaller moet dus al toegang tot het toestel hebben of er code op kunnen draaien. Volgens de gegevens staat het lek niet op de lijst van actief misbruikte lekken en is er geen openbare exploit bekend.
Wat moet je doen?
Controleer je patchniveau
Kijk in Instellingen bij Over de telefoon of Android-versie welk beveiligingspatchniveau je toestel heeft. Voor dit kernellek moet dat 2026-11-05 of later zijn; 2026-11-01 is niet genoeg. Google legt uit hoe je je Android-versie controleert en bijwerkt (opent in een nieuw venster).
Installeer de update van je fabrikant
Installeer de beschikbare systeemupdate. Wanneer die komt, verschilt per fabrikant en toestel. De oplossing staat in het Android-beveiligingsbulletin van november 2026 (opent in een nieuw venster).
Beperk de blootstelling
Installeer alleen apps die je vertrouwt en geef geen onbekende personen toegang tot je toestel, zolang het niet is bijgewerkt.
Dezelfde update lost meer lekken op
Het bulletin van november verhelpt in totaal ruim 200 lekken, waaronder CVE-2026-59014, CVE-2026-59016 en CVE-2026-59028. Met patchniveau 2026-11-05 zijn ze allemaal opgelost.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het gaat om een use-after-free (CWE-416) die door een logicafout in de code ontstaat. Na het vrijgeven van een geheugenobject blijft er een verwijzing bestaan die later nog wordt gebruikt. Dit kan leiden tot lokale escalatie van privileges. De aanvalsroute is lokaal, de complexiteit laag, en er zijn geen privileges en geen gebruikersinteractie nodig (CVSS 3.1: 8,4, AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H). De patch zit in de Android Common Kernel. Kernelfixes uit het bulletin van november vallen onder beveiligingspatchniveau 2026-11-05.
CVSS-vector (versie 3.1, basisscore 8,4, bron: CNA)
CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H- Zwakheid (CWE)
- CWE-416 · Use-after-free (gebruik van geheugen na vrijgave)
- Aanvalsroute
- Alleen met toegang tot het apparaat
- EPSS, kans op misbruik binnen 30 dagen
- 0,1%
- Aanvalscode openbaar
- Nee
Advies van de overheid
- NCSC (Nederland)Kans: Middel · Schade: HoogBekijk advies