Googles Android-Sicherheitsupdate vom November behebt 216 Schwachstellen, darunter eine kritische Lücke, über die Angreifer ohne jegliche Interaktion des Nutzers bösartigen Code ausführen könnten.
Die Fehlerbehebungen umfassen etwa zwei Dutzend Schwachstellen mit kritischem Schweregrad, darunter Remote-Code-Ausführung (RCE), Privilegieneskalation, Offenlegung von Informationen und Denial-of-Service-Angriffe.
Der erste Schwung, gekennzeichnet durch den Sicherheits-Patchstand vom 1. November 2026, behebt 119 Schwachstellen in Android Framework, System und Runtime. Auf Framework entfallen 65 Fehlerbehebungen, während System 53 erhält. Die verbleibende Fehlerbehebung betrifft eine Schwachstelle zur Offenlegung von Informationen in Android Runtime.
„Die schwerwiegendste dieser Schwachstellen ist eine kritische Sicherheitslücke in der Framework-Komponente, die zur Ausführung von Code aus der Ferne führen könnte, ohne dass dafür zusätzliche Ausführungsrechte erforderlich wären. Für die Ausnutzung ist keine Interaktion des Nutzers erforderlich“, teilte Google in seinem Sicherheitsbulletin mit.
Zwei weitere kritische RCE-Schwachstellen, CVE-2026-58876 und CVE-2026-58936, betreffen Android System.
Der zweite Schwung, gekennzeichnet durch den Sicherheits-Patchstand vom 5. November, behebt weitere 97 Schwachstellen im Linux-Kernel und in Komponenten von Arm, Imagination Technologies, MediaTek, Unisoc und Qualcomm.
Mehr als ein Dutzend dieser Fehlerbehebungen betreffen kritische Schwachstellen in Bluetooth, der geschützten Kernel-based Virtual Machine (pKVM), Komponenten für Human Interface Devices (HID), MediaTek-Modems und einer proprietären Qualcomm-Komponente.
Auch die „SMS des Todes“ wird berücksichtigt
Eine weitere bemerkenswerte Schwachstelle ist CVE-2026-58882, eine kritische Denial-of-Service-Lücke mit dem Spitznamen „SMS des Todes“.
Die Schwachstelle betrifft speziell präparierte SMS-Nachrichten, die den Telefoniedienst von Android zum Absturz bringen und dadurch möglicherweise laufende Gespräche, einschließlich Notrufen, unterbrechen können. eSecurity Planet berichtete zuvor dass der unabhängige Sicherheitsforscher Mark Blaszczyk das Problem am 29. Oktober öffentlich gemacht hatte, nachdem er Google im Mai darüber informiert hatte.
Google hatte zuvor erklärt, dass im Oktober eine Fehlerbehebung verfügbar war, obwohl die Schwachstelle auch im Sicherheitsbulletin für November aufgeführt ist. Ihre Aufnahme bedeutet nicht zwangsläufig, dass Geräte, die die frühere Korrektur erhalten haben, weiterhin gefährdet waren. Nutzer sollten jedoch bestätigen, dass ihre Geräte die entsprechenden Sicherheitsupdates erhalten haben.
Samsung bereitet eigenes Galaxy-Sicherheitspaket vor
Auch Samsung hat Einzelheiten zu seinem Sicherheitsrelease für November veröffentlicht, das Android-Fehlerbehebungen mit zusätzlichen Schutzmaßnahmen für Galaxy-Geräte kombiniert.
Laut SammyGurubehebt das Paket 206 Schwachstellen, darunter 178 Android-Fehlerbehebungen von Google, vier Fehlerbehebungen von Samsung Semiconductor und 24 Schwachstellen in Samsungs eigener Software.
Die Galaxy-spezifischen Fehlerbehebungen betreffen Probleme im Bootloader, bei Kamera-Filter-Plugins, in Samsung Contacts, Dialer und Messages sowie beim SIM-Sperrschutz. Einige Schwachstellen könnten unter bestimmten Bedingungen nicht autorisierte Anrufe ermöglichen, vertrauliche Informationen offenlegen oder die Ausführung von Code erlauben. Samsung hat keinen verbindlichen Zeitplan für die Verteilung genannt. Die Verfügbarkeit hängt von Gerätemodell, Mobilfunkanbieter und Region ab; die Updates werden voraussichtlich schrittweise bereitgestellt.
Was der Patch für Android-Nutzer bedeutet
Die größte Sorge für Verbraucher besteht darin, dass einige der Schwachstellen nicht voraussetzen, dass sie verdächtige Links öffnen, schädliche Anwendungen installieren oder ungewöhnliche Berechtigungen bestätigen, damit ein Angriff erfolgreich sein kann.
Die RCE-Lücke in Framework ist besonders besorgniserregend, weil für einen Angriff keinerlei Interaktion erforderlich ist. Android-Nutzer sollten die Sicherheitspatch-Daten überprüfen, statt davon auszugehen, dass mit einem routinemäßigen Softwareupdate jede Schwachstelle vom November behoben wurde.
Der Patchstand vom 1. November deckt die Fehlerbehebungen für Framework und System ab, einschließlich der SMS-Schwachstelle, während der Stand vom 5. November alle entsprechenden Schwachstellen aus Googles November-Bulletin abdeckt.
Pixel-Besitzer sollten in den Einstellungen nach verfügbaren Systemupdates suchen. Samsung-Nutzer können zu Einstellungen, Softwareupdate und anschließend zu Herunterladen und installieren navigieren. Bei anderen Herstellern können die Menünamen und Veröffentlichungspläne abweichen.
Verzögerungen bei Patches bleiben ein Sicherheitsproblem für Unternehmen
Für Unternehmen, die Android-Geräte verwalten, stellt der November-Release eine erhebliche Herausforderung beim Patch-Management dar.
Unterschiede bei Herstellern, Hardwarekomponenten, Mobilfunkanbietern und regionalen Zeitplänen für die Verteilung können dazu führen, dass einige Geräte bekannten Schwachstellen ausgesetzt bleiben, selbst nachdem Google Fehlerbehebungen veröffentlicht hat.
IT-Teams in Unternehmen sollten die Sicherheits-Patchstände verwalteter Geräte überprüfen, Updates für Telefone priorisieren, die auf Unternehmens-E-Mails und sensible Anwendungen zugreifen, und bestätigen, dass die entsprechenden herstellerspezifischen Fehlerbehebungen installiert wurden.
Organisationen sollten außerdem ihre Richtlinien für die Verwaltung mobiler Geräte überprüfen, um nicht mehr unterstützte Geräte zu identifizieren und, soweit möglich, Mindestanforderungen an Sicherheits-Patchstände durchzusetzen.
Der November-Release macht deutlich, warum die Verfügbarkeit von Patches allein nicht ausreicht. Unternehmen benötigen Transparenz darüber, welche Geräte die Fehlerbehebungen tatsächlich erhalten haben und welche während des Wartens auf Updates weiterhin gefährdet sind.
Weitere Sicherheitsmeldungen: General Motors hat einer Einigung über 220 Millionen US-Dollar mit 36 US-Bundesstaaten zugestimmt wegen des Vorwurfs, dass das Unternehmen ohne ordnungsgemäße Einwilligung Standort- und Fahrverhaltensdaten von Fahrern gesammelt und an Datenbroker von Drittanbietern verkauft habe, wodurch Versicherer die Informationen möglicherweise zur Anpassung von Versicherungsprämien nutzen konnten.