Een gesprek dat niets vraagt

Een telefoon licht op met een binnenkomend videogesprek via VoLTE, de standaard voor spraak over LTE die tegenwoordig de meeste gesprekken op moderne netwerken afhandelt. Degene die het toestel vasthoudt heeft nog niets aangeraakt. Ergens onder het besturingssysteem, in een deel van de chip waar de meeste eigenaren nog nooit van hebben gehoord, verwerkt de modem al zelfstandig de signalering van het videogesprek op zijn eigen, afzonderlijke processorkern.

Die afzonderlijke kern is het doelwit. Beveiligingsonderzoekers van SSD Secure Disclosure publiceerden op 17 augustus 2026 een advisory waarin een werkende exploitketen tegen de Unisoc T612 wordt beschreven, een chipset die verwerkt is in een breed scala aan instap- en middenklasse Android-telefoons. De toegangsweg loopt via de manier waarop de modem VoLTE-videogesprek-signalering afhandelt, niet via het Android-besturingssysteem dat de gebruiker ziet.

The Hacker News, dat eveneens over de advisory berichtte, vatte het belang bondig samen: dit is geen theoretische zwakte in een labrapport, maar een aangetoonde keten waarbij een werkende exploit van een telefoongesprek naar controle op kernelniveau over het toestel kan gaan, zonder dat de gebruiker een app hoeft te openen, op een link hoeft te klikken of enige toestemming hoeft te geven behalve het toestel te laten overgaan.

Binnen in de keten van drie stappen

De onderzoekers beschrijven de exploit als drie aan elkaar gekoppelde stappen. De eerste noemen ze een egg hunter, een techniek die het geheugen doorzoekt naar een klein, eerder geplaatst payload zodra de aanvaller over enige vorm van schrijftoegang beschikt, in plaats van vooraf de exacte geheugenadressen te moeten kennen. Het is een verkenningsstap die een smalle voet aan de grond omzet in een bruikbare.

De tweede stap is de meest bepalende: een omzeiling van de MPU van de chip, de memory protection unit, de hardwarefunctie die de uitvoeringsomgeving van de modem juist zou moeten afschermen van gevoelig geheugen. SSD Secure Disclosure stelt dat de exploit die bescherming uitschakelt en vervolgens rechtstreeks kernel-shellcode schrijft, waardoor de aanvaller onbeperkte fysieke geheugentoegang krijgt vanuit de uitvoeringsomgeving van de modem zelf, een zone die nooit zo ver had mogen reiken.

De derde stap is een springplank via do_sys_open, een laagniveau kernelfunctie voor het openen van bestanden, die de keten hergebruikt om van ruwe geheugentoegang naar volledige kernelcontrole aan de Android-kant te gaan. Aan elkaar geschakeld leiden de drie stappen een aanvaller van een ontvangen VoLTE-videogesprek naar controle over de kernel van het besturingssysteem zelf, wat dicht bij het maximale toegangsniveau ligt dat een toestel kan verlenen.

Een chipfamilie, geen losse telefoon

SSD Secure Disclosure en The Hacker News noemen beide twee bevestigd getroffen toestellen: de Xiaomi Redmi A5 en de Motorola E13, twee van de meest verkochte instapmodellen Android-telefoons in Europa en daarbuiten. Beide zijn precies het type toestel dat een bedrijf in bulk inkoopt voor personeel dat een werkende telefoon nodig heeft, geen vlaggenschip.

De blootstelling blijft niet beperkt tot die twee modellen. Unisoc-chipsets hebben wereldwijd ongeveer 14 procent marktaandeel in smartphone-systemen-op-een-chip, een aandeel dat vrijwel volledig is opgebouwd op instap- en middenklassetoestellen, en de T612 in het bijzonder zit in telefoons van merken als Honor, Realme, vivo, Samsung en Motorola. Niet elke telefoon met Unisoc gebruikt de T612, maar het bereik van de chipfamilie over meerdere grote merken betekent dat de praktische impact groter is dan twee modelnamen doen vermoeden.

Precies die combinatie, een veelgebruikte chip in een weinig glamoureus marktsegment, verklaart waarom dit lek commercieel en niet alleen academisch van belang is. Instap- en middenklasse Android-toestellen zijn de standaardkeuze voor wagenparken, bezorging, retail, magazijnen en buitendienstfuncties, precies de hardwarecategorieën die in grote volumes worden ingekocht en het minst vaak worden bijgewerkt.

Waarom het gebruikelijke patchproces hier nog niet werkt

Hier zit het detail dat dit verhaal onderscheidt van een routinematig chiplek: op het moment van publicatie is er geen CVE-identificatie toegewezen aan het lek, en bestaat er geen patch van Unisoc. SSD Secure Disclosure verklaarde ronduit dat het de fabrikant via twee gescheiden kanalen benaderde, e-mail en LinkedIn, en geen enkele reactie kon ontvangen. Die stilte maakt inmiddels zelf deel uit van de openbaarmaking.

Standaard bedrijfsmatig kwetsbaarhedenbeheer draait op CVE-nummers. Scanners raadplegen bekende kwetsbaarhedendatabases, inkoopchecklists verwijzen naar CVE-identificaties, en patchcycli worden daaraan afgemeten. Een lek zonder CVE verschijnt eenvoudigweg in geen van die hulpmiddelen, wat betekent dat een organisatie een volledig conform kwetsbaarhedenbeheerproces kan uitvoeren en toch nul zicht heeft op een actieve, op afstand activeerbare kernelexploit in de eigen toestelvloot.

Voor een Europees bedrijf met een BYOD-beleid, of een bedrijf dat personeel instap- of middenklasse Android-toestellen uitreikt, kan de praktische reactie niet wachten op een scanmelding die niets heeft om op te scannen. Inkoop- en devicebeheerteams zouden vandaag nog moeten controleren, per toestelmodel en chipset, of er Unisoc T612-hardware in gebruik is, in plaats van te wachten op een CVE-vermelding die op geen enkel voorspelbaar moment hoeft te verschijnen.

Niets van dit alles betekent dat er nooit een patch komt. Het betekent dat, voorlopig, de enige betrouwbare manier om te weten of een vloot kwetsbaar is, is rechtstreeks kijken welke hardware er is ingezet, omdat het gebruikelijke vroegtijdige waarschuwingssysteem niets heeft om voor te waarschuwen.

Lees hierna: Google vangt uw geheugenprijs niet langer op  |  Twee Open-Source Tools Vielen Binnen Uren Om