Android-Patchday: Kritische Lücken ermöglichen Angriffe ohne Nutzerinteraktion

Angreifer könnten über „kritische“ Schwachstellen in Android 14, 15, 16 und 17 aus der Ferne Schadcode ausführen. Wer ein noch im Support befindliches Smartphone oder Tablet besitzt, sollte sicherstellen, dass die aktuellen Sicherheitspatches installiert sind.

Neben Google stellen unter anderem auch Honor und Samsung regelmäßig Updates für ausgewählte Geräte zum Download bereit (siehe Kasten).

Zwei Patchstände

In einer aktuellen Warnmeldung listet Google zahlreiche Softwareschwachstellen auf, die die Entwickler nun in den Patch-Levels 2026-11-01 und 2026-11-05 geschlossen haben. Das installierte Patch-Level kann man in den Systemeinstellungen prüfen.

Der Patchstand vom 1. November behebt die in der Warnmeldung entsprechend gekennzeichneten Lücken unter anderem im Framework, im System und in der Android-Laufzeitumgebung. Der Patchstand vom 5. November umfasst zusätzlich die für das Gerät relevanten Kernel- und Herstellerkorrekturen und deckt damit das gesamte November-Bulletin ab.

Verschiedene Angriffspunkte

Im Patchstand 2026-11-01 betrifft der Großteil der Lücken das Framework. Dort können Angreifer unter anderem an einer „kritischen“ Lücke (CVE-2026-58868) ansetzen, um aus der Ferne Schadcode auszuführen. Google zufolge sind dafür keine zusätzlichen Berechtigungen und keine Nutzerinteraktion erforderlich. Weiterführende Details zum Ablauf möglicher Angriffe nennt das Bulletin nicht. Auch im System beschreibt Google zwei Schwachstellen (CVE-2026-58876 „kritisch“, CVE-2026-58936 „kritisch“), die Codeausführung aus der Ferne ohne Nutzerinteraktion ermöglichen könnten.

Im November-Sicherheitsbulletin listet Google auch die als „kritisch“ eingestufte Schwachstelle CVE-2026-58882 auf. Dabei handelt es sich um die sogenannte „SMS des Todes“, mit der Android-Smartphones aus der Ferne über eine einfache Nachricht lahmgelegt werden können. Den Patch zur Schließung der Lücke hat Google nach eigenen Angaben bereits im Oktober bereitgestellt.

Zusätzlich können sich Angreifer über weitere Lücken höhere Nutzerrechte verschaffen (etwa CVE-2026-59014 „hoch“) oder auf eigentlich abgeschottete Informationen zugreifen (etwa CVE-2026-58951 „hoch“).

Im Kernel stecken zudem zwei kritische Bluetooth-Lücken, über die Angreifer ihre Rechte ausweiten können. Außerdem patcht Google Komponenten von Arm, Imagination, MediaTek, Unisoc und Qualcomm. Als kritisch gelten dabei Lücken im MediaTek-Modem und in einer Closed-Source-Komponente von Qualcomm.