Google hat eine kritische Sicherheitslücke in Android behoben, die Remote-Codeausführung ermöglichen könnte, ohne dass Nutzer den Bildschirm berühren oder eine Aktion bestätigen müssen. Die Schwachstelle mit der Kennung CVE-2026-58868 ist der schwerwiegendste Eintrag im Android-Sicherheitsbulletin für November 2026, das am 2. November veröffentlicht wurde.
Laut dem offiziellen Bulletin liegt der Fehler in der Framework-Komponente des Systems und wird durch einen Heap-Buffer-Overflow in der Funktion onOutputReceived der Datei FrameDecoder.cpp verursacht, einem Teil des Codes, der Vorschaubilder erzeugt und Medien wie Fotos und Videos verarbeitet. Google stuft die Lücke als kritisch ein, weil sie ohne zusätzliche Ausführungsrechte und ohne Nutzerinteraktion zu Remote-Codeausführung führen könnte. Betroffen sind Geräte mit Android 14, 15, 16, 16 QPR2 und 17.
Das November-Bulletin behebt 216 Schwachstellen, von denen 23 als kritisch eingestuft sind. Darunter sind zwei weitere Remote-Codeausführungs-Lücken in der System-Komponente, CVE-2026-58876 und CVE-2026-58936, beide mit 9,8 von 10 Punkten auf der CVSS-Skala. Dasselbe Bulletin enthält auch die als „SMS of Death“ (CVE-2026-58882) bezeichnete Lücke, die den Telefondienst des Geräts lahmlegen kann.
Wichtig ist der Kontext: Google gibt an, keine Kenntnis von aktiver Ausnutzung dieser Lücken zu haben, und es ist kein öffentlicher Proof-of-Concept bekannt. Das Bulletin erläutert auch nicht, wie ein Angreifer den verwundbaren Code erreichen würde, und „Zero-Click“ bedeutet nicht automatisch, dass jedes Gerät über das Internet erreichbar wäre. Die Schutzmechanismen der Android-Plattform und Google Play Protect verringern laut Google die Wahrscheinlichkeit einer erfolgreichen Ausnutzung.
Der Fix ist im Sicherheits-Patch-Level 2026-11-01 oder höher enthalten; das vollständige Bulletin erfordert Level 2026-11-05. Die Auslieferung hängt von Hersteller und Mobilfunkanbieter ab. Die größere Warnung gilt älteren Geräten: Laut von Cybernews zitierten Verbreitungsdaten laufen 43,6 % der aktiven Android-Geräte noch mit Android 13 oder älter, die keine Sicherheitsupdates mehr erhalten — diese Geräte bekommen den Patch nicht.
Um den Patch-Stand zu prüfen, gehen Sie zu Einstellungen > Sicherheit und installieren Sie das November-Update, sobald es für Ihr Gerät verfügbar ist.
Bildnachweis: Android-Roboter, von Google / Irina Blok, via Wikimedia Commons (CC BY 3.0).
Quellen:
- Android Security Bulletin — November 2026 (Google)
- Cybernews — Android zero-click flaw fixed, but many phones may miss patch
- Security Affairs — CVE-2026-58868: Critical Android Bug Could Let Attackers Run Remote Code
Transparenz: Dieser Artikel wurde mit Unterstützung künstlicher Intelligenz erstellt und mit öffentlichen Beiträgen auf X sowie Internetquellen abgeglichen. Konsultieren Sie immer die oben aufgeführten Originalquellen.
Muse
