Android-Sicherheitsupdate: Google schließt 216 Lücken, 23 davon kritisch

Google hat am 2. November 2026 das Android Security Bulletin für den laufenden Monat veröffentlicht und darin insgesamt 216 Sicherheitslücken geschlossen. Nach Angaben des Unternehmens sind 23 dieser Schwachstellen als kritisch eingestuft.

Die Aktualisierungen decken die Betriebssystemversionen Android 14, 15, 16, 16 QPR2 sowie 17 ab. Für ältere Versionen des mobilen Betriebssystems stehen viele der Fehlerbehebungen dagegen nicht mehr bereit.

Zwei gestaffelte Sicherheitsebenen für System und Hardware

Die Verteilung der Aktualisierungen erfolgt wie gewohnt über zwei separate Patch-Ebenen. Das Patch-Level 2026-11-01 schließt 119 Schwachstellen, die sich auf zentrale Bereiche des Betriebssystems verteilen: 65 im Framework, 53 im System und eine in der Laufzeitumgebung.

Zu den gravierendsten Problemen zählen dabei mehrere kritische Zero-Click-Schwachstellen zur entfernten Codeausführung (CVE-2026-58868 im Framework sowie CVE-2026-58876 und CVE-2026-58936 im System), die allesamt ohne jegliche Nutzerinteraktion ausgenutzt werden können.

Ergänzend listet das Bulletin unter anderem die Schwachstelle CVE-2026-59014 zur Rechteausweitung sowie CVE-2026-58951 zur Offenlegung von Informationen auf, jeweils mit dem Schweregrad „High“. Berichte über eine aktive Ausnutzung dieser Lücken lagen Google zum Zeitpunkt der Veröffentlichung nicht vor.

Das erweiterte Patch-Level 2026-11-05 behebt zusätzliche 97 Sicherheitslücken, die Komponenten von Drittanbietern und den Linux-Kernel betreffen. Hierunter fallen sechs kritische Kernel-Schwachstellen in den Bereichen Bluetooth, HID und pKVM.

Angesichts der Vielzahl kritischer Sicherheitslücken wird deutlich, wie wichtig ein proaktiver Schutz für mobile Endgeräte heute ist. Dieser kostenlose Ratgeber zeigt Ihnen in fünf einfachen Schritten, wie Sie Ihr Android-Smartphone wirksam gegen Hacker und Datenmissbrauch absichern. 5 Schutzmaßnahmen jetzt entdecken

Weitere Fixes richten sich an Hardwarebausteine von Arm, Imagination, Unisoc, Qualcomm (darunter CVE-2026-25285) und MediaTek. Allein für Modems von MediaTek wurden acht kritische Lücken behoben, darunter CVE-2026-20499, CVE-2026-20519 und CVE-2026-20520.

Denial-of-Service-Schwachstelle über WAP-Push-Nachrichten

Ebenfalls im Patch-Level 2026-11-01 geführt wird die Denial-of-Service-Lücke CVE-2026-58882. Der eigentliche Fix für dieses Problem war bereits im Update des Vormonats enthalten. Mark Blaszczyk hatte die Schwachstelle am 29. Oktober 2026 öffentlich gemacht; zudem ist ein Konzeptnachweis nebst Sender-Anwendung auf GitHub verfügbar.

Die unter der Bezeichnung „SMS of Death“ bekannt gewordene Lücke nutzt manipulierte WAP-Push-Kurznachrichten mit fehlerhafter Header-Länge aus. Diese lösen im Dienst WapPushOverSms eine unbehandelte Ausnahme aus, bringen den Prozess com.android.phone zum Absturz und beenden sowohl reguläre als auch Notrufe unmittelbar.

Angriffe ließen sich auf Geräten wie dem Google Pixel 9 und Modellen der Samsung-Galaxy-A-Serie nachvollziehen. Werden 20 bis 30 Nachrichten in rascher Folge empfangen, kann das Gerät vollständig lahmgelegt werden, wobei wiederholte Zustellversuche über das Mobilfunknetz und automatische Neustarts die Ausfälle verlängern.

Bei Tests unter Android 12 führte das Verhalten zu wiederkehrenden Neustarts im Wiederherstellungsmodus im Abstand von etwa 90 Sekunden, was ein Zurücksetzen auf die Werkseinstellungen erforderlich machte.

Wer sich mit der Sicherheit seines Betriebssystems befasst, sollte regelmäßige Aktualisierungen nicht dem Zufall überlassen. In diesem kostenlosen Report erfahren Sie, wie automatische Updates Ihr Gerät rund um die Uhr schützen und Sicherheitslücken dauerhaft schließen. Kostenlosen Android-Update-Report herunterladen

Grundsätzlich betroffen sind Geräte mit Android 12 bis 16. Offizielle Patches stellt Google für Android 14, 15, 16, 16 QPR2 und 17 bereit, während Android 12 und 13 ungeschützt bleiben. Für nicht mehr unterstützte Geräte existiert als Behelfslösung eine manuelle Entfernung der schädlichen Nachrichten über die Android Debug Bridge. Hinweise auf kriminelle Ausnutzungen oder einen Datenabfluss liegen bislang nicht vor.

Samsung integriert eigene Sicherheitsmaßnahmen

Hersteller Samsung legte am 3. November 2026 sein eigenes Bulletin für das November-Paket vor. Das Update umfasst laut Herstellerangaben 206 Schwachstellen: 178 aus dem Android-System, vier bei Samsung Semiconductor und 24 in der herstellereigenen Software.

Eine detaillierte Aufschlüsselung zählt über 160 behobene Schwachstellen, darunter 155 von Google gemeldete Android-Lücken und 24 Galaxy-spezifische Sicherheitslücken, von denen 17 öffentlich dokumentiert und sieben vertraulich sind.

In Bezug auf die Schweregrade wurden 20 Google-Schwachstellen als kritisch eingestuft, 141 als hoch (134 von Google, vier von Samsung Semiconductor, drei von Samsung MX) und 15 als moderat.

Die Korrekturen von Samsung betreffen unter anderem Exynos-Prozessoren, Modems, den Bootloader, Anruffunktionen über Sperrbildschirm-Widgets, Umgehungen von SIM-Sperren sowie die System-Apps für Telefonie, Kontakte, Nachrichten und die MKV-Videowiedergabe.

Die Bereitstellung für Endanwender erfolgt schrittweise in den kommenden Tagen und hängt vom Modell sowie der jeweiligen Region ab. Nutzer von Smartphones mit Android 12 oder 13, für die keine Aktualisierungen mehr erscheinen, wird der Umstieg auf ein neueres Gerät nahegelegt.