Google behebt sieben kritische Android-Sicherheitslücken, darunter Fehler, die eine Rechteausweitung oder Denial-of-Service-Angriffe ohne Benutzerinteraktion ermöglichen könnten.
Das Unternehmen veröffentlichte am 5. Oktober sein Android-Sicherheitsbulletin für Oktober, in dem 25 einzigartige Android-Sicherheitslücken aufgeführt sind, von denen sieben als kritisch eingestuft werden. Ein separates Pixel-Bulletin nennt sechs weitere Sicherheitslücken, die unterstützte Pixel-Geräte betreffen.
Für Sicherheitsteams, die Android-Geräte verwalten, unterstreichen die Updates, wie wichtig es ist, die Sicherheits-Patchlevel zu überprüfen, statt einfach anzunehmen, dass Geräte geschützt sind, nur weil sie mit Android 17 laufen.
Sieben kritische Android-Sicherheitslücken behoben
Googles Android-Bulletin für Oktober nennt sieben als kritisch eingestufte Sicherheitslücken: eine in der Framework-Komponente und sechs in der Systemkomponente.
Die Framework-Sicherheitslücke CVE-2026-58865 könnte zu einem dezentralen Denial-of-Service-Angriff führen. Google erklärte, dass die schwerwiegendste Sicherheitslücke im Abschnitt „Framework“ weder zusätzliche Ausführungsberechtigungen noch Benutzerinteraktion zur Ausnutzung erfordert. CVE-2026-58865 betrifft Android 14, 15, 16, 16 QPR2 und 17.
Die sechs kritischen Sicherheitslücken im System sind:
- CVE-2026-55269: Erhöhung von Berechtigungen
- CVE-2026-55280: Erhöhung von Berechtigungen
- CVE-2026-58835: Erhöhung von Berechtigungen
- CVE-2026-58880: Erhöhung von Berechtigungen
- CVE-2026-49933: Denial-of-Service
- CVE-2026-55265: Denial-of-Service
Google erklärte, dass die schwerwiegendste Sicherheitslücke im Abschnitt „System“ zu einer lokalen Rechteausweitung ohne zusätzliche Ausführungsberechtigungen oder Benutzerinteraktion führen könnte.
Das Unternehmen erklärte außerdem, dass neuere Android-Versionen Sicherheitsverbesserungen enthalten, die die Ausnutzung vieler Sicherheitslücken erschweren, und forderte die Nutzer auf, die für ihre Geräte verfügbare neueste Android-Version zu installieren.
Google verwies auf Google Play Protect als zusätzliche Schutzebene gegen potenziell schädliche Anwendungen, insbesondere für Nutzer, die Apps außerhalb von Google Play installieren.
Pixel-Update behebt drei weitere kritische Sicherheitslücken
Googles Oktober-Bulletin für Pixel führt sechs weitere Sicherheitslücken auf, die unterstützte Pixel-Geräte betreffen.
Drei davon sind als kritisch eingestuft:
- CVE-2026-55330: Eine kritische Sicherheitslücke zur Rechteausweitung, die Bluetooth betrifft.
- CVE-2026-56952: Eine kritische Sicherheitslücke zur Rechteausweitung in der GDMC-Komponente.
- CVE-2026-55307: Eine kritische Sicherheitslücke zur Offenlegung von Informationen, die GSA betrifft.
Das Bulletin führt außerdem zwei schwerwiegende Kernel-Sicherheitslücken zur Rechteausweitung auf, CVE-2026-56906 und CVE-2026-56936, sowie eine schwerwiegende Sicherheitslücke zur Offenlegung von Informationen, CVE-2026-0198, die GDMC betrifft.
Googles Android- und Pixel-Bulletins stufen keine dieser Sicherheitslücken als aktuell aktiv ausgenutzt ein.
Unterstützte Pixel-Geräte mit einem Sicherheits-Patchlevel vom 5. Oktober 2026 oder später beheben die Sicherheitslücken aus dem Pixel-Bulletin und dem Android-Sicherheitsbulletin für Oktober. Google fordert Pixel-Besitzer auf, das Update zu installieren, sobald es verfügbar ist.
Update auf Android 17 behebt auch Pixel-Fehler
Google begann laut 9to5Google am 6. Oktober mit der schrittweisen Verteilung des Android-17-Updates für unterstützte Pixel-Geräte.
Neben den Sicherheits-Patches enthält das Update drei funktionale Fehlerbehebungen. Die Familien Pixel 8 bis Pixel 11 erhalten eine Fehlerbehebung für ein Problem, durch das die virtuelle Tastatur in bestimmten Suchfeldern möglicherweise nicht angezeigt wurde. Die Familien Pixel 8 bis Pixel 10 erhalten eine Fehlerbehebung für Rauschen oder Verzerrungen des Klingeltons bei bestimmten VoIP-Anrufen.
Die Pixel-11-Familie erhält außerdem eine Fehlerbehebung für Fotos oder Videos, die gelegentlich in der falschen Ausrichtung gespeichert wurden. Google verteilt Over-the-Air-Updates für Pixel schrittweise, daher kann die Verfügbarkeit je nach Gerät und Mobilfunkanbieter variieren.
Sicherheitsteams sollten Android-Patchlevel überprüfen
Für Unternehmen, die Android-Endgeräte verwalten, ist im Oktober das Sicherheits-Patchlevel entscheidend, nicht einfach die Android-Version.
Geräte, die das Sicherheits-Patchlevel vom 1. Oktober 2026 ausweisen, müssen Korrekturen für alle mit diesem Patchlevel verbundenen Probleme sowie für Probleme aus früheren Android-Sicherheitsbulletins enthalten. Unterstützte Pixel-Geräte, die auf das Patchlevel vom 5. Oktober aktualisiert wurden, beheben alle Probleme aus Googles Pixel-Bulletin für Oktober und dem Android-Sicherheitsbulletin für Oktober.
Sicherheitsteams sollten die verwalteten Android-Geräte inventarisieren, ihre aktuellen Sicherheits-Patchlevel überprüfen und, sofern verfügbar, Tools für Mobile Device Management oder Unified Endpoint Management einsetzen, um Geräte zu ermitteln, die hinter den Patchanforderungen des Unternehmens zurückbleiben.
Die Veröffentlichung im Oktober folgt auf Googles Android-Sicherheitsupdate vom September, mit dem ebenfalls kritische Sicherheitslücken auf Android-Geräten behoben wurden. Die monatlichen Sicherheits-Patchlevel im Blick zu behalten, kann ein klareres Bild der Gefährdung von Endgeräten liefern, als allein die Betriebssystemversion zu prüfen.
Weiterführende Lektüre: Mehr zur Android-Sicherheit: Erfahren Sie, wie Android 17 neue Schutzmaßnahmen zur Beweissicherung bei Spyware-Angriffen einführt.