De Android-beveiligingsupdate van juni is een van de grootste dit jaar en de meeste gebruikers hebben deze nog niet geïnstalleerd
De Android-beveiligingsupdate van Google van juni 2026 werd op 1 juni uitgebracht en had veel te doen. Het repareert 124 kwetsbaarheden in Android 14, 15, 16 en 16 QPR2, waaronder één die al actief wordt misbruikt in het wild. De meeste niet-Pixel-gebruikers hebben deze nog niet eens ontvangen. Hier is wat erin zit, waarom het belangrijk is, en hoe je kunt controleren of je telefoon beschermd is.
Wat Er Eigenlijk Wordt Geüpdatet
124 kwetsbaarheden, er wordt al één aangevallen
Dat is natuurlijk een hoop kwetsbaarheden, verspreid over Framework, Systeem, Kernel en componenten van derdenchipsets van Qualcomm en Broadcom. 18 daarvan worden als Kritiek beoordeeld, volgens de Android Security Bulletin van Google van juni 2026.
De grootste waar je je zorgen over moet maken is CVE-2025-48595, een ernstig integer overflow in het Android Framework met een CVSS-score van 8,4 (een schaal van 0-10, waarbij 9,0+ Kritiek is). Google bevestigde in het bulletin dat er "indicaties zijn dat CVE-2025-48595 mogelijk onder beperkte, gerichte exploitatie is," wat de standaardformulering is die wordt gebruikt wanneer iemand actief een kwetsbaarheid inzet tegen echte apparaten.
De bug zelf heeft te maken met hoe het Android Framework rekenkundige bewerkingen uitvoert zonder juiste grenscontrole. Een lokale aanvaller kan een invoer samenstellen die een gehele waarde doet overlopen, wat rondgaat naar een onverwacht klein getal. Die onjuiste waarde wordt vervolgens gebruikt als buffergrootte of geheugenindex, wat een pad creëert voor code-uitvoering op verhoogde privilege-niveaus. Een kwaadaardige app met basisrechten kan deze exploit gebruiken om volledige controle over een apparaat te krijgen zonder om meer rechten te vragen en zonder enige actie van de gebruiker. Het meest waarschijnlijke leveringsmechanisme is een trojan-achtige app die je zelf installeert.
Een andere kwetsbaarheid, CVE-2026-0059, is een Bluetooth-heapoverflow met hoge ernst in de Systeemcomponent die code kan uitvoeren op een nabijgelegen apparaat zonder enige gebruikersinteractie. De aanvaller moet binnen het bereik van Bluetooth zijn, maar het kan in combinatie met het bovenstaande worden gebruikt: dichterbij komen, een app stiekem installeren en vervolgens de privilege-escalatie gebruiken om chaos te veroorzaken.
Wie is er op dit moment eigenlijk beschermd
Pixel-apparaten kregen het als eerste; iedereen wacht nog
Het bijwerken van je Android-telefoon is vrij eenvoudig, maar of je de nieuwe beveiligingsupdate van juni hebt, hangt af van je hardware. Google informeert Android-hardwarepartners over kwetsbaarheden minstens een maand voordat het bulletin wordt gepubliceerd, dus Samsung, OnePlus, Motorola en Xiaomi hebben tijd gehad om zich voor te bereiden, hoewel ze het nog niet hebben verzonden.
Pixel-apparaten begonnen de juni 2026-firmware op de releasedag te krijgen, maar voor elk ander Android-apparaat hangt de tijdlijn af van de fabrikant. En, zoals bij de meeste Android-updates, hangt het uitrollen af van het model en de leeftijd van je telefoon. Een actuele Galaxy S25 zou de patch binnen enkele dagen kunnen krijgen, terwijl een telefoon uit het middensegment van twee jaar oud weken kan duren, of helemaal niet ontvangen, afhankelijk van de ondersteuningsperiode.
En vergeet niet, het updatevenster kan vaak worden bepaald door de chipsetfabrikant, niet door de telefoonmaker. Oudere siliciumchips werken op kortere schema's, ongeacht wat de OEM belooft.
Een andere vervelende fout: als je Android 17 CinnamonBun beta op je Pixel draait, net als ik, kun je nog steeds op de patch van mei zitten. Beta 4.1, uitgebracht op 1 juni, werd geleverd met de beveiligingspatch van mei in plaats van die van juni. De nieuwe patches zouden moeten aankomen met de stabiele Android 17 rond 10 juni, dus je hoeft niet te lang te wachten.
Er kan een gedeeltelijke oplossing zijn aangezien sommige fixes van juni zijn gebundeld via Google's Project Mainline, dat componentupdates levert via de Play Store zonder een volledige OEM-firmware-update. Mainline wordt automatisch op de achtergrond geïnstalleerd, dus uw apparaat kan al dekking hebben voor sommige kwetsbaarheden, zelfs als uw patch-niveau tekenreeks niet is veranderd.
Hoe te controleren en waar op te letten
Instellingen, patchniveaus en wat de cijfers betekenen
Om uw huidige beveiligingspatchniveau te controleren, gaat u naar Instellingen > Over de telefoon > Android-versie op de meeste apparaten. Op Pixel is het Instellingen > Beveiliging & privacy > Systeem en updates. U wilt 2026-06-01 of 2026-06-05 zien; de laatstgenoemde bevat alle juni-fixes plus extra patches voor kernondercomponenten en chipsetdrivers.
Om handmatig te controleren op een firmware-update op Pixel: Instellingen > Systeem > Software-updates > Systeemupdate > Controleren op update. Op Samsung: Instellingen > Systeemupdates > Controleren op systeemupdates. OnePlus: Instellingen > Systeem & update > Systeemupdate.
Je kunt je Google Play-systeemupdate afzonderlijk controleren, aangezien Mainline-componenten via een ander kanaal worden bijgewerkt. Je vindt het onder Instellingen > Beveiliging & privacy > Systeem en updates > Google Play-systeemupdate.
De exploit is beperkt in zijn doelwit, maar de update is nog steeds de moeite waard om te krijgen
De actieve exploitatie van CVE-2025-48595 wordt omschreven als beperkt en gericht, wat historisch gezien betekent dat het hoogwaardig doelwitten betreft: journalisten, dissidenten, functionarissen, leidinggevenden. Dezelfde bewoording verscheen in eerdere bulletins die verband hielden met commerciële spywarecampagnes zoals Heliconia, Predator en Hermit.
Als je geen hoogrisicodoelwit bent, is je directe risico laag. Maar bugs in privilege escalation werken niet geïsoleerd. Het bulletin van juni repareert ook bugs voor het uitvoeren van code op afstand in het Media Framework. Een aanvaller die via een van die bugs binnenkomt, zou dit kunnen combineren met CVE-2025-48595, en die combinatie is gevaarlijker voor een veel breder publiek.
Je kunt de oplossing nu gratis krijgen als je een Pixel-eigenaar bent en de bèta niet draait. Voor iedereen anders, controleer je patchniveau, start een handmatige updatecontrole en zorg ervoor dat je Google Play-systeemupdate up-to-date is terwijl je wacht.