Kritieke kwetsbaarheid op OnePlus-telefoons blijft na zes maanden onopgelost
Beveiligingsonderzoeker Rasmus Moorats meldt in een blogpost dat OnePlus en OPPO al maandenlang een ernstige kwetsbaarheid in hun software negeren. Die kwetsbaarheid laat apps toe om het systeem te ‘rooten’ en zo verregaande systeemrechten te krijgen. Rooten is het proces waarbij apps volledige systeemrechten krijgen en ook aanpassingen aan het systeem kunnen maken. Verder krijgen ze daarmee rechtstreeks toegang tot alle bestanden op je telefoon en kunnen ze het toestel eigenhandig bedienen.
‘Niet jij, maar wij bepalen’
Het gaat in de praktijk zelfs om twee lekken in OxygenOS en OPPO’s ColorOS die samen toelaten dat een toestel geroot wordt. OnePlus erkende beide kwetsbaarheden in mei 2026, nadat Moorats ze in april bij de fabrikant had gemeld. In die erkenning gaf OnePlus echter ook nog een andere boodschap mee: niet jij, maar wij bepalen wanneer informatie over de kwetsbaarheid wordt gedeeld.
OnePlus ging zelfs zover dat het Moorats verbood om op enig moment details over de kwetsbaarheid te delen. Zelfs als de fabrikant er zelf over zou beginnen, mocht de onderzoeker geen aanvullende details publiceren. Zou hij dat wel doen, dan kon OnePlus hem juridisch aansprakelijk stellen. Maanden tikten echter voorbij, waarna Moorats alsnog besloot de kritieke lekken openbaar te maken.
Zes maanden na de eerste melding liggen details over het lek dus op straat. Ook is er nog steeds geen zicht op een definitieve oplossing. En dat voor een bug die niet alleen miljoenen OnePlus 15-toestellen treft, maar ook oudere toestellen als de OnePlus 12 en OPPO-telefoons. Dat ook OPPO getroffen wordt, is niet zo gek: de fabrikanten delen met ColorOS één besturingssysteem. OxygenOS is slechts een afgeleide daarvan.
Installeer niet zomaar apps
De vraag die nu vooral resteert, is waarom OnePlus de bug niet heeft opgelost. Het is ook zeker niet zo dat Moorats OnePlus sinds mei heeft genegeerd. De onderzoeker kreeg in juni een update van de fabrikant met de vraag er niets over te publiceren. Daarop deed hij de belofte er tot 17 september niets over te publiceren. Navraag op 20 juli en 11 september over de voortgang van een fix leverde echter niets op.
Het is dus afwachten wanneer OnePlus precies met een update komt. Als gebruiker kan je er vrij weinig tegen doen, behalve waakzaam zijn bij het installeren van apps. Zeker als je ze via een APK moet installeren, installeer je ze best enkel van zeer vertrouwde bronnen. Kijk je in de Play Store, controleer dan de gegevens van de ontwikkelaar en lees de recente reviews.
Dit voorval bij OnePlus met trage reacties staat overigens niet op zichzelf. Ook in 2025, toen de fabrikant een lek in zijn sms- en mms-dienst moest oplossen, reageerde de fabrikant traag op beveiligingsonderzoeker Rapid7.
