GhostMap: deze Android-bug zet je telefoon vast in een eindeloze crashlus

Stel je voor: je installeert een app, je opent hem niet eens, en een seconde later start je telefoon opnieuw op. En opnieuw. En opnieuw. Dat is precies wat onderzoekers van Bitdefender beschrijven in hun onderzoek naar GhostMap, een fout in Android die op 5 november 2026 openbaar werd gemaakt. De app hoeft geen enkele toestemming te vragen en er zit zelfs geen uitvoerbare code in. Toch kan hij je telefoon onbruikbaar maken, en voorlopig is er geen oplossing van Google.

Wat is GhostMap precies?

GhostMap is een fout in de manier waarop Android de bestanden in een app leest. Een app op Android is in feite een zipbestand met code, afbeeldingen en andere bestanden. Twee onderdelen van Android blijken het oneens over hoe een bepaald soort bestand in dat pakket moet worden gelezen. De ene bibliotheek leest het bestand als gecomprimeerd, de andere als ongecomprimeerd, waardoor het bestand naar een stuk geheugen wijst dat er niet is. Zodra het systeem dat stuk geheugen probeert te openen, krijgt het een SIGBUS-signaal en stopt het proces direct.

Het onderzoek begon op 12 augustus 2026, toen een app die Bitdefender in het wild had gevonden de testomgeving van het bedrijf crashte. De app was gevonden in een onderzoek naar malware voor mobiel bankieren, maar de crash bleek niet door de malware te komen: de fout zat in Android zelf. Bitdefender bouwde daarna een testapp zonder enige uitvoerbare code om te bewijzen dat de fout echt in het systeem zit. Alleen al het installeren van die lege app was genoeg om een telefoon vast te laten lopen.

Hoe een app die je nooit opent je telefoon kan laten vastlopen

Na de installatie leest Android automatisch een klein bestand uit de app, zonder dat je de app opent. Bij een app met GhostMap crasht op dat moment system_server, het proces dat de meeste kernfuncties van Android draait. Android start dat proces opnieuw op, leest dezelfde app opnieuw en crasht weer. In een test van Bitdefender gebeurde dat 110 keer achter elkaar, met het opstartscherm bevroren. De eerste crash kwam ongeveer een seconde na de installatie.

Opnieuw opstarten helpt niet, want na elke start leest het systeem het bestand opnieuw. Ook de veilige modus helpt niet: in een test crashte de telefoon daar 72 keer. Dat komt doordat het systeem de bestanden van alle apps leest voordat de veilige modus effect heeft. Bestandsbeheerders crashen als ze het bestand proberen te lezen, waardoor je de app niet zomaar kunt verwijderen.

Er zijn maar twee uitwegen. De eerste is een fabrieksreset, waarbij alle gegevens op je telefoon worden gewist. De tweede werkt alleen als je voor het probleem al USB-foutopsporing had ingeschakeld: dan kun je met een computer en het hulpprogramma ADB het bestand verwijderen in de korte pauze tussen twee crashes. Wie dat niet had ingesteld, houdt alleen de fabrieksreset over.

GhostMap steelt geen gegevens en voert geen code uit: de fout laat processen alleen maar crashen. Dat maakt hem minder gevaarlijk dan een lek waarmee aanvallers je wachtwoorden kunnen stelen, maar voor je telefoon maakt dat weinig verschil, want een telefoon die eindeloos opnieuw opstart, kun je niet gebruiken.

Waarom Google de bug (nog) niet oplost

Bitdefender meldde de fout twee keer bij Google, op 20 en 25 augustus 2026, via het beloningsprogramma voor Android-lekken. De eerste melding werd gesloten met de status Won't Fix (Not Reproducible): Google kon de crash in zijn eigen tests niet reproduceren. Bij de tweede melding, inclusief een werkende testapp, antwoordde Google dat de fout buiten de reikwijdte van een beveiligingsupdate valt en dat het probleem is doorgegeven aan een ontwikkelteam voor een mogelijke toekomstige versie van Android.

Er is dus nog geen oplossing en ook geen datum waarop die komt. Er is bovendien nog geen CVE-nummer toegekend, het nummer waarmee lekken normaal worden geregistreerd. Bitdefender zegt dat het de fout in het wild nog niet bij echte gebruikers heeft gezien, maar nu het onderzoek openbaar is, weten ook aanvallers hoe de truc werkt.

De test van Bitdefender draaide op een Pixel 10 met Android 17 en de beveiligingspatch van 5 augustus 2026. Volgens Bitdefender treft de fout Android 10 en nieuwer, maar die bewering is nog niet door een onafhankelijke partij bevestigd. Of elk merk en model op dezelfde manier reageert, is dus nog niet zeker.

Wat kun je zelf doen om veilig te blijven

De belangrijkste regel is simpel: installeer alleen apps uit de Play Store, van ontwikkelaars die je vertrouwt. GhostMap werkt via een speciaal gemaakte app, en die komt het makkelijkst op je telefoon via een apk-bestand van een onbekende website of via een link in een bericht. Zet de installatie van apps uit onbekende bronnen uit en laat die instelling uit staan.

Controleer ook of Google Play Protect aan staat. Die functie scant apps op je telefoon en waarschuwt bij verdachte bestanden, en Bitdefender meldt dat zijn eigen beveiligingsapp bestanden met deze fout herkent en blokkeert. Houd je telefoon verder zo actueel mogelijk: installeer de beveiligingsupdate van november 2026 zodra die voor je toestel beschikbaar is. Die update lost een ander, apart kritiek lek op.

Komt je telefoon na het installeren van een app in een crashlus, start hem dan niet eindeloos opnieuw op. Dat lost niets op. Als je USB-foutopsporing aan had staan, kun je via ADB het bestand proberen te verwijderen. In alle andere gevallen is een fabrieksreset de enige weg terug. Zorg daarom dat je back-up op orde is: een actuele back-up van je fotos, contacten en chats maakt een fabrieksreset vervelend, maar geen ramp.

Veelgestelde vragen

Kan GhostMap mijn gegevens stelen?

Nee, voor zover bekend niet. De fout laat processen crashen, maar voert geen code uit en geeft geen toegang tot je gegevens. Het gevaar zit in de crashlus zelf: je telefoon wordt onbruikbaar totdat het bestand is verwijderd of de telefoon is gereset.

Geldt GhostMap ook voor mijn Samsung of Xiaomi?

Dat is nog niet zeker. Bitdefender testte de fout op een Pixel 10 met Android 17 en zegt dat Android 10 en nieuwer kwetsbaar zijn. Omdat de fout in de basis van Android zit, is het aannemelijk dat meer merken er last van kunnen hebben, maar een onafhankelijke bevestiging ontbreekt nog.

Wat moet ik doen als mijn telefoon al in een crashlus zit?

Start de telefoon niet eindeloos opnieuw op. Als je USB-foutopsporing al aan had staan, kun je met een computer en ADB het probleem-bestand verwijderen. Lukt dat niet, dan is een fabrieksreset de enige oplossing. Herstel daarna je gegevens uit je back-up en installeer alleen apps uit de Play Store.