Bitdefender Labs menerbitkan temuan bernama GhostMap pada 5 November 2026. Celah ini membuat ponsel Android masuk siklus crash hanya karena sebuah APK rekayasa terpasang. Aplikasinya tidak perlu dibuka, tidak meminta izin, dan tidak berisi kode yang bisa dijalankan. Google sudah menerima laporannya sejak Agustus, tetapi menyatakan tidak akan memperbaikinya lewat pembaruan keamanan.
Cara kerja dan dampaknya
Peneliti Bitdefender menemukannya saat menganalisis trojan perbankan Android yang terus crash di emulator mereka. Penyebabnya adalah dua komponen Android yang menafsirkan metode kompresi ZIP di dalam APK secara berbeda. Akibatnya, proses sistem yang membaca entri itu mengalami crash. Pada pengujian di Pixel 10 dengan Android 17 (patch keamanan 5 Agustus 2026), layanan system_server berulang kali restart. Menurut BleepingComputer, loop terjadi 110 kali dalam mode normal dan 72 kali di Safe Mode.
Bitdefender menyebut masalah ini juga muncul pada versi Android mulai dari 10. Kodenya berada di AOSP, sedangkan perangkat pabrikan lain belum diuji. Help Net Security mencatat Bitdefender belum melihat teknik ini dipakai di lapangan. Pemulihannya bisa berarti factory reset yang menghapus data lokal.
Respons Google dan status celah
Bitdefender melapor ke Google pada 20 Agustus 2026. Laporan itu ditutup dengan status Won’t Fix (Not Reproducible). Tindak lanjut pada 25 Agustus disertai proof of concept, lalu Google menilainya di luar cakupan perbaikan keamanan dan hanya meneruskannya ke tim terkait untuk kemungkinan pertimbangan di versi mendatang. Celah ini tidak punya nomor CVE, dan tidak ada versi perbaikan maupun mitigasi resmi dari Google. BleepingComputer masih menunggu tanggapan Google soal status terbaru. Pembaruan bulanan terbaru Google, yang kami bahas di liputan buletin Android November 2026, tidak menyinggung GhostMap.
Langkah yang perlu Anda ambil
Karena pemicunya hanya pemasangan, kebiasaan memasang aplikasi menjadi pertahanan utama. Pasang aplikasi dari toko resmi dan hindari APK dari tautan, grup pesan, atau situs tidak dikenal. Buat cadangan data secara berkala, sebab pemulihan dari boot loop kemungkinan mengharuskan factory reset. Bitdefender menyatakan produk Mobile Security miliknya mendeteksi berkas ini dengan nama Android.Riskware.Ghostmap.rA, tetapi aplikasi pihak ketiga tidak bisa memblokir instalasi, jadi pengguna tetap harus menanggapi peringatan sebelum memasang. Pengguna yang sudah mengaktifkan opsi debugging memiliki satu jalan lain: menghapus APK bermasalah lewat ADB sebelum sistem benar-benar crash, seperti dicatat BleepingComputer.
Bagi pengguna biasa, risiko terbesarnya adalah kehilangan data, bukan pencurian data. Selama Google belum menambal, cadangan terbaru adalah perlindungan paling praktis.
Sumber: Bitdefender Labs, BleepingComputer, Help Net Security. Gambar: Bitdefender Labs.