Android-Patchday November: Kritische Lücken

Android-Patchday November: Kritische Lücken ohne Nutzerinteraktion

Google hat das November-Sicherheitsbulletin für Android veröffentlicht. Die Patches schließen zahlreiche Lücken in Android 14, 15, 16 und 17. Hinweise auf bereits laufende Angriffe gibt es bislang nicht.

Zwei Patch-Level pro Monat

Google vergibt die Patch-Level 2026-11-01 und 2026-11-05. Der Stand vom 1. November behebt Lücken in Framework, System und Android-Laufzeitumgebung. Der Stand vom 5. November ergänzt Kernel- und Herstellerkorrekturen und deckt damit das vollständige Bulletin ab.

Das installierte Patch-Level lässt sich in den Systemeinstellungen prüfen. Wer ein noch unterstütztes Gerät nutzt, sollte die Updates zeitnah einspielen.

Kritische Lücken in Framework und System

Die schwerwiegendste Lücke steckt im Framework: CVE-2026-58868 erlaubt Angreifern aus der Ferne, Schadcode auszuführen – ohne zusätzliche Berechtigungen und ohne Nutzerinteraktion. Details zum Ablauf möglicher Angriffe nennt das Bulletin nicht.

Im System listet Google zwei weitere kritische Schwachstellen (CVE-2026-58876, CVE-2026-58936), die ebenfalls Codeausführung aus der Ferne ohne Interaktion ermöglichen könnten.

Bereits gepatcht ist die als „SMS des Todes“ bekannte Lücke CVE-2026-58882: Eine einzelne Nachricht konnte Android-Geräte lahmlegen. Den Fix hatte Google nach eigenen Angaben schon im Oktober bereitgestellt.

Über weitere Lücken können sich Angreifer höhere Nutzerrechte verschaffen (CVE-2026-59014) oder auf eigentlich abgeschottete Informationen zugreifen (CVE-2026-58951).

Kernel, Bluetooth und Chipsätze

Im Kernel stecken zwei kritische Bluetooth-Lücken, über die sich Rechte ausweiten lassen. Zusätzlich patcht Google Komponenten von Arm, Imagination, MediaTek, Unisoc und Qualcomm. Als kritisch gelten Lücken im MediaTek-Modem und in einer Closed-Source-Komponente von Qualcomm.

Was Admins und Nutzer tun sollten

Updates liefert nicht nur Google: Honor und Samsung stellen regelmäßig Patches für ausgewählte Geräte bereit. Bei anderen Herstellern kommen sie erheblich später oder gar nicht.

Für Behörden und Unternehmen mit MDM gilt: Patch-Level zentral auslesen, veraltete Geräte identifizieren und das Restrisiko dokumentieren. Ein Gerät ohne aktuellen Patchstand gehört nicht in ein Verwaltungsnetz.

Quellen

heise online: Android-Patchday: Kritische Lücken ermöglichen Angriffe ohne Nutzerinteraktion (3. November 2026)

Hinweis: Dieser Beitrag wurde mit Unterstützung künstlicher Intelligenz (KI) erstellt.