Sårbarheten slår finns i äldre versioner, framför allt Android 2.1 och tidigare.

På Houseccon-konferensen i Houston avslöjade säkerhetsanalytikern MJ Keith på Alert Logic att han har lyckats utveckla kod som utnyttjar luckan.

Koden gör det möjligt att köra en enkel programrad i Android som gör att besökare på en sajt får skadlig kod injicerad.

Buggen ligger i webbläsarmotorn Webkit, som används av Android.

Google säger sig känna till sårbarheten. Enligt talespersonen Jay Nancarrow påverkar den inte mobiler som kör version 2.2 och senare. Äldre versioner än så körs på 36 procent av alla Android-telefoner.

Sårbarheten ger inte full tillgång till mobilerna, men gör det möjligt för angriparen att nå allt som en webbläsare kan komma åt. Däremot går det inte att skriva sms eller ringa samtal, men att kopiera foton eller se vilka webbplatser en användare har besökt.