Google en Apple patchen een smartphonelek dat misbruikt kan worden zonder dat het slachtoffer iets hoeft te doen. Bij Google gebeurde dat ook effectief al.
De kwetsbaarheid die eruit springt in het Pixel Update Bulletin van 15 september draagt het label CVE-2026-58704. Het gaat om een privilege-escalatie in de mobiele modem van Pixel-toestellen, veroorzaakt door gebrekkige autorisatie. Google zelf houdt het op een voorzichtige formulering: er zijn aanwijzingen dat de kwetsbaarheid ‘beperkt, maar doelgericht’ uitgebuit wordt.
Aanval zonder één tik
Wat het lek gevaarlijk maakt, is dat er geen enkele gebruikersactie aan te pas komt. Geen link om aan te klikken, geen bestand om te openen: een aanvaller bereikt de modem rechtstreeks en breekt vervolgens uit de sandbox waarin die draait, richting de data op de rest van het toestel. Dat profiel is het handelsmerk van commerciële spywareleveranciers die overheden en opsporingsdiensten bedienen. Google identificeert geen daders en zegt niet wie geviseerd werd.
Een patch voor de kwetsbaarheid werd begin september uitgerold, dat meteen ook de ruim honderd andere kwetsbaarheden in Android afdekt. Alle ondersteunde Pixel-toestellen krijgen de update rechtstreeks toebedeeld door Google; andere Android-fabrikanten moeten deze eerst nog in hun eigen softwareschil verwerken. Dit zorgt traditioneel voor wat vertraging.
Bluetooth-lek bij Apple
Apple bracht op maandag, in het verlengde van de lancering van nieuwe iPhones, iOS 26.7 en iPadOS 26.7 uit, samen goed voor ruim tachtig gedichte lekken. De zwaarste is CVE-2026-65414, een lek gelinkt aan bluetooth. In Apples eigen bewoordingen kan een aanvaller via bluetooth een app doen crashen of willekeurige code uitvoeren.
De CVSS-score van 9.8 wijst op een ernstige kwetsbaarheid, want ook hier is geen interactie met de gebruiker vereist. Apple meldt geen actief misbruik. De patches dienen dus eerder ter preventie en je kan ze dan ook best zo snel mogelijk installeren.
Het Bluetooth-lek treft daarnaast ook macOS, tvOS, watchOS en visionOS. Apple rolde deze week een update uit voor al zijn besturingssystemen.