Samsung Galaxy: een zorgvuldig ontworpen afbeelding kan code uitvoeren zonder ook maar één keer te tikken

Samsung heeft op 8 september zijn beveiligingspakket voor september uitgebracht. Dit pakket, genaamd SMR Sep-2026 Release 1, bevat 90 oplossingen, waarvan Samsung er twee als kritiek beoordeelt. Beide bevinden zich in hetzelfde onderdeel, namelijk de code die afbeeldingen op Galaxy-telefoons decodeert.

De twee vermeldingen zijn SVE-2026-3247 en SVE-2026-3282, die openbaar worden bijgehouden als CVE-2026-21095 en CVE-2026-21096. De eerste betreft de DNG-decoder, de tweede de JPEG-decoder. Beide bevinden zich in libimagecodec.quram.so, de bibliotheek die Samsung gebruikt voor het verwerken van afbeeldingen. DNG is een raw-fotoformaat dat door veel camera’s en telefoons wordt gebruikt. Samsung beschrijft beide kwetsbaarheden als een op de heap gebaseerde bufferoverloop die „externe aanvallers in staat stelt willekeurige code uit te voeren”. Android 14, 15, 16 en 17 zijn hierdoor getroffen.

Waarom dit meer is dan een routinematige patch

Het CVE-record, dat Samsung zelf heeft ingediend, heeft een CVSS-score van 9,2 op een schaal van 10. De aanvalsvector is belangrijker dan het cijfer. Deze omvat UI:N, wat betekent dat een aanval geen actie van de gebruiker vereist. Geen tik op een bestand, geen bevestiging. Het apparaat hoeft alleen maar een onjuist opgebouwde afbeelding te verwerken. Dezelfde vector omvat ook AT:P, wat betekent dat aan aanvullende voorwaarden moet worden voldaan voordat een aanval kan slagen.

Brendon Tiszka en Mateusz Jurczyk van Google Project Zero hebben beide kwetsbaarheden ontdekt, en Samsung vermeldt hen in de dankwoordensectie van zijn bulletin. Beide vermeldingen zijn gemarkeerd als „Privately disclosed“, dus er zijn geen meldingen van aanvallen. De oplossing zelf is klein van omvang. Samsung vermeldt alleen dat er een correcte invoervalidatie is toegevoegd.

Aanvallers maakten in 2025 misbruik van dezelfde bibliotheek

Dit is niet de eerste keer dat dit onderdeel van het systeem problemen heeft veroorzaakt. In 2025 gebruikten aanvallers libimagecodec.quram.so om commerciële spyware genaamd Landfall te verspreiden. Onderzoekers van Palo Alto Networks Unit 42 documenteerden hoe verkeerd opgebouwde DNG-bestanden die via WhatsApp werden verzonden, telefoons compromitteerden zonder dat het slachtoffer ergens op hoefde te klikken. Samsung heeft dat beveiligingslek, CVE-2025-21042, in april 2025 verholpen, en het Amerikaanse cyberbeveiligingsagentschap CISA heeft het in november toegevoegd aan zijn catalogus van bekende kwetsbaarheden waarvan misbruik is gemaakt. Bekende doelwitten bevonden zich in Irak, Iran, Turkije en Marokko.

De kwetsbaarheden die Samsung zojuist heeft verholpen, zijn afzonderlijke bugs. Ze hebben betrekking op hetzelfde onderdeel en hetzelfde bestandsformaat, wat aantoont dat de decoder een kwetsbaar punt blijft.

Hoe u uw patchniveau kunt controleren

Open ‘Instellingen’, vervolgens ‘Software-update’ en daarna ‘Software-informatie’, en kijk naar het Android-beveiligingspatchniveau. Als de datum uit september 2026 stamt, beschikt uw telefoon al over het pakket. Als er augustus of eerder wordt weergegeven, tikt u op ‘Downloaden en installeren’.

Samsung verstuurt deze pakketten eerst naar zijn huidige vlaggenschepen, waarna oudere toestellen in de weken daarna volgen. Dat patroon was ook al zichtbaar bij de update van juli. We hebben ook naar Samsung Internet gekeken om te zien welke onderdelen van het systeem de maandelijkse patch nooit bereikt.

Van de 90 oplossingen zijn er 58 afkomstig uit het Android-bulletin van Google, waarvan 18 kritiek en 40 als ‘hoog’ beoordeeld. Een andere oplossing is afkomstig van Samsung Semiconductor, en de overige 31 zijn afkomstig van Samsung Mobile. In ons rapport over het bulletin van juni wordt uitgelegd hoe het maandelijkse Android-pakket wordt samengesteld en waarom het nog steeds lang duurt voordat individuele kwetsbaarheden op telefoons worden verholpen.