חוקרי Bitdefender חשפו חולשה באנדרואיד שכינו GhostMap, שמאפשרת לאפליקציה שהותקנה במכשיר להכניס אותו ללולאת אתחול מתמשכת. האפליקציה לא צריכה הרשאות, לא מכילה קוד הרצה, ואפילו לא צריך לפתוח אותה: תהליך מערכת מרכזי קורא אחד מהקבצים שלה אוטומטית אחרי ההתקנה, קורס, עולה מחדש וקורס שוב.
מקור הבעיה בשתי ספריות של אנדרואיד שמפרשות שיטות דחיסה של ZIP באופן שונה, כך שקובץ APK פגום עוקף בדיקות גודל. בבדיקה על Pixel 10 עם אנדרואיד 17 ועדכון האבטחה מ-5 באוגוסט, הלולאה החלה כשנייה אחרי ההתקנה, ונמשכה גם במצב בטוח (Safe Mode).
היציאה מהלולאה אפשרית רק באיפוס להגדרות יצרן, שמוחק את המידע המקומי, או במחיקת הקובץ דרך ADB, שדורש שאפשרות הניפוי כבר הופעלה. Bitdefender דיווחה לגוגל ב-20 באוגוסט וקיבלה תשובה שהבעיה "לא ניתנת לשחזור"; גוגל שקלה אותה לעדכון עתידי, אך לא כעדכון אבטחה.
עד לתיקון, ההמלצה היא להתקין אפליקציות רק ממקורות מוכרים. BleepingComputer פנה לגוגל לשאלה על מועד תיקון ועדיין לא קיבל תשובה.