Google heeft op 2 november 2026 het Android-beveiligingsbulletin van november uitgebracht, met 216 lekken: 23 kritiek en 193 hoog. Het zwaarste lek, CVE-2026-58868 in het Framework, kan op afstand tot code-uitvoering leiden zonder dat de gebruiker iets hoeft te doen: een zogeheten zero-click-lek. Twee vergelijkbare lekken zitten in System (CVE-2026-58876 en CVE-2026-58936). Google meldt geen actief misbruik. De updates gelden voor Android 14 tot en met 17 en komen, zoals altijd, via de fabrikant van je toestel.
Wat valt op?
- Drie zero-click-lekken. Bij CVE-2026-58868, CVE-2026-58876 en CVE-2026-58936 kan een aanvaller op afstand code uitvoeren, zonder extra rechten en zonder handeling van de gebruiker. Dat zijn de lekken waar je als eerste vanaf wilt.
- “SMS of Death” opgelost. CVE-2026-58882, een bug waarmee een aanvaller met een sms gesprekken kan laten wegvallen, staat in het bulletin als kritiek denial-of-service-lek in System, voor Android 14 tot en met 17.
- Twee patchniveaus. Patchniveau 2026-11-01 dekt 119 lekken in Framework, System en Android runtime, waaronder de drie zero-click-lekken. Patchniveau 2026-11-05 voegt 97 lekken toe in de kernel en in onderdelen van chipmakers zoals Arm, MediaTek, Unisoc en Qualcomm. Alleen met 2026-11-05 of later is alles opgelost.
- Kritieke kernellekken. In het kerneldeel zitten zes kritieke lekken, onder meer in Bluetooth, HID en pKVM. Vijf daarvan geven rechtenverhoging.
- Ook updates via Google Play. Een deel van de lekken zit in Mainline-onderdelen zoals Media Codecs, MediaProvider, WiFi en Telephony. Die kunnen via Google Play-systeemupdates worden bijgewerkt, los van de fabrikant.
- Oudere Android-versies vallen buiten de boot. Google noemt fixes voor Android 14 tot en met 17. Toestellen met Android 12 of 13 die geen updates meer krijgen, blijven kwetsbaar.
Wat betekent dit voor jou?
Thuis: controleer je beveiligingspatchniveau en installeer de update zodra je fabrikant die aanbiedt. Samsung publiceerde zijn eigen novemberbulletin op 3 november; andere merken volgen in de komende dagen of weken. Krijgt je toestel geen updates meer, overweeg dan vervanging. Op het werk: filter in je mobielbeheer op toestellen met een patchniveau ouder dan 2026-11-01 en geef die voorrang, want daarmee dicht je de zero-click-lekken. Plan daarna de uitrol naar 2026-11-05.
- 216 lekken opgelost volgens Google
- 10 met een CVSS-score van 7,0 of hoger (tabel hieronder)
- 0 kritiek, 10 hoog (volgens de CVSS-score; Google zelf noemt er 23 kritiek)
- Opgelost in: beveiligingspatchniveau 2026-11-01 (Framework, System) en 2026-11-05 (alles)
Wat moet je doen?
Werk bij naar patchniveau 2026-11-05
Kijk in Instellingen bij Over de telefoon welk beveiligingspatchniveau je toestel heeft. Je zit goed met 2026-11-05 of later. Patchniveau 2026-11-01 dicht de zero-click-lekken, maar de kernellekken worden pas met 2026-11-05 verholpen. Google legt uit hoe je je Android-versie controleert en bijwerkt.
Installeer de update van je fabrikant
Installeer de beschikbare systeemupdate zodra je toestel die aanbiedt. Wanneer die komt, verschilt per fabrikant en toestel; de fixes staan in het Android-beveiligingsbulletin van november. Staan automatische updates uit, zet ze dan aan, zodat je volgende patches niet mist.
Rol de update centraal uit op zakelijke toestellen
Beheer je toestellen voor een organisatie, controleer dan via je mobielbeheertool welke toestellen nog onder 2026-11-05 zitten. Zet de update voor die toestellen klaar en controleer daarna of het patchniveau is bijgewerkt.
Beperk de blootstelling tot je bent bijgewerkt
Installeer alleen apps die je vertrouwt en laat Google Play Protect aanstaan. Geef geen onbekende personen toegang tot je toestel zolang het niet is bijgewerkt.
Alle lekken in deze update
In deze tabel staan de lekken met een CVSS-score van 7,0 of hoger die LekkenRadar tot nu toe heeft verwerkt. Lekken met een eigen pagina zijn gelinkt; bij de andere verwijzen we naar de NVD.
| CVE | Ernst | Wat is het |
|---|---|---|
| CVE-2026-59014 | Hoog 8,4 | Android: schrijffout via integer-overloop |
| CVE-2026-59016 | Hoog 8,4 | Android: path traversal in ProfilingService |
| CVE-2026-59028 | Hoog 8,4 | Android: rechten omzeild (confused deputy) |
| CVE-2026-59044 | Hoog 8,4 | Android-kernel: use-after-free |
| CVE-2026-59042 | Hoog 7,4 | Out-of-bounds write door race condition in pKVM |
| CVE-2026-59043 | Hoog 7,4 | Geheugenbeschadiging door race condition in io-pgtable-arm |
| CVE-2026-58925 | Hoog 7,8 | Android Automotive: use-after-free in EVS-service (apart Automotive-bulletin) |
| CVE-2026-59045 | Hoog 7,4 | Geheugenbeschadiging door race condition op meerdere plekken |
| CVE-2026-59004 | Hoog 8,4 | Rechten omzeild door onafgevangen uitzondering op meerdere plaatsen |
| CVE-2026-59005 | Hoog 8,4 | Multiuser-isolatie doorbroken door ontbrekende rechtencontrole in MmsProvider |