Android 13 und älter: 43,6 Prozent der Geräte erhalten den Patch nicht

Mit dem aktuellen Android-Patch-Level schließt Google insgesamt 216 Schwachstellen im Betriebssystem und angeschlossenen Komponenten. Unter den geschlossenen Sicherheitslücken stuft der Konzern 23 als kritisch ein.

Trotz des umfangreichen Schutzpakets erreichen die Sicherheitsaktualisierungen jedoch einen erheblichen Teil der Android-Basis nicht: Laut Android-Verteilungsdaten laufen 43,6 % der aktiven Android-Geräte auf Android 13 oder älteren Versionen und erhalten den Patch nicht mehr regulär.

Da der betroffene Programmcode der schwerwiegendsten Schwachstelle bereits aus dem Jahr 2017 stammt, könnten auch diese älteren Systemversionen für Angriffe anfällig sein.

Kritische Lücken im Framework und im System

Das von Google am 2. November 2026 veröffentlichte Android Security Bulletin listet neben den 23 kritischen Sicherheitslücken weitere 193 Schwachstellen mit dem Schweregrad „hoch“ auf.

Die Aufteilung erfolgt wie gewohnt über zwei Sicherheitsebenen: Das Patch-Level 2026-11-01 deckt 8 kritische Lücken ab, während das Patch-Level 2026-11-05 zusätzliche 15 kritische Fehler adressiert.

Als gravierendste Schwachstelle gilt der Fehler CVE-2026-58868. Dabei handelt es sich um einen Heap-Buffer-Overflow in der Mediendekodierung des Frameworks, der eine Ausführung von Schadcode aus der Ferne ohne erweiterte Rechte und ohne jegliche Nutzerinteraktion ermöglicht. Betroffen sind die Versionen Android 14, 15, 16 inklusive 16 QPR2 sowie Android 17.

Das Betriebssystem weist darüber hinaus zwei weitere kritische Lücken zur Ausführung von Remote-Code auf: CVE-2026-58876 und CVE-2026-58936, die beide mit einem CVSS-Wert von 9,8 bewertet wurden. Für CVE-2026-58876 stellt Google eine Verteilung über das Google-Play-Systemupdate für Medien-Codecs ab Android 10 bereit.

Insgesamt wurden 17 Fehler bereits vorab über die modularen Systemupdates von Google Play behoben. Weitere kritische Probleme im System betreffen Rechteausweitungen in den Versionen 15 bis 17 (darunter CVE-2026-55275, CVE-2026-55283 und CVE-2026-58984) sowie Denial-of-Service-Schwachstellen.

Millionen Android-Nutzer sind täglich Hackern schutzlos ausgeliefert – ohne es zu wissen. Ein veraltetes Smartphone ist wie eine offene Haustür für Cyberkriminelle. Dieser kostenlose Report zeigt, wie Sie sich schützen. Android-Sicherheit erhöhen und Lücken schließen

Denial-of-Service über Push-Nachrichten und Kernel-Schwachstellen

Zu den geschlossenen DoS-Lücken gehört CVE-2026-58882, die der Sicherheitsforscher Mark Blaszczyk Ende Oktober öffentlich gemacht hatte. Der Fehler in der Verarbeitung von WAP-Push-Nachrichten erlaubt das gezielte Abstürzen des Telefondienstes com.android.phone. Dadurch können aktive Telefonate sowie Notrufe ohne Interaktion der betroffenen Nutzer abrupt beendet werden.

Im Patch-Level 2026-11-01 sind 119 Fehlerbereinigungen gebündelt, aufgeteilt auf 65 Korrekturen im Framework, 53 im System und eine in der Android Runtime. Weitere 97 Fixes entfallen auf das erweiterte Patch-Level.

Dazu zählen 31 Kernel-Patches, unter anderem gegen kritische Schwachstellen in Bluetooth, HID und der virtuellen Maschine pKVM, über die Angreifer aus der Ferne Berechtigungen ausweiten können. Hinzu kommen Hardware-Korrekturen: MediaTek verzeichnet 8 kritische Lücken in Modem-Komponenten, während Qualcomm eine kritische Closed-Source-Lücke (CVE-2026-25285) schließt.

Hinweise auf eine aktive Ausnutzung der Lücken in freier Wildbahn enthält das Bulletin von Google nicht. Der Sicherheitseintrag der US-Cybersicherheitsbehörde CISA vom 2. November 2026 stuft die Ausnutzbarkeit von CVE-2026-58868 als automatisierbar und die technischen Auswirkungen als vollumfänglich ein, führt den Eintrag zum Stand vom 3. November 2026 jedoch nicht im Katalog bekannter ausgenutzter Schwachstellen.

Wer sich mit der Sicherheit seines Betriebssystems befasst, sollte auch die grundlegenden Schutzmaßnahmen für den Alltag kennen. Ein gratis PDF-Ratgeber zeigt 5 einfache Schritte gegen Hacker und Viren, die jeder Android-Nutzer sofort umsetzen kann. 5 Schutzmaßnahmen jetzt kostenlos entdecken

Bereitstellung durch Gerätehersteller

Die Auslieferung der Aktualisierungen liegt nun bei den Geräteherstellern. Samsung integriert in sein Wartungsrelease 20 kritische Google-Fixes sowie 24 herstellereigene Fehlerkorrekturen für Samsung-Software und 4 für Halbleiterkomponenten, nannte jedoch noch keinen genauen Rollout-Termin.

Xiaomi bereitet die Anpassung der Sicherheitsinhalte an die eigene Benutzeroberfläche HyperOS vor und plant die Verteilung über die kommenden Wochen modellweise für erste Geräte auszurollen.