Android-Sicherheitsupdate: Google schließt 216 Lücken, 23 davon kritisch

Google hat am 2. November 2026 das Android Security Bulletin für November 2026 veröffentlicht und darin insgesamt 216 Schwachstellen (CVEs) behoben. Von den geschlossenen Sicherheitslücken sind 23 als kritisch und 193 als hoch eingestuft.

Als schwerwiegendste Schwachstelle gilt eine Schwachstelle zur Remotecodeausführung im Framework unter der Kennung CVE-2026-58868 (A-486464711). Diese lässt sich ohne jegliche Nutzerinteraktion ausnutzen und betrifft die Versionen Android 14, 15, 16, 16-qpr2 sowie 17. Nach Angaben des Unternehmens im Bulletin gibt es bislang keine Hinweise auf eine aktive Ausnutzung der Sicherheitslücken.

Geteilte Patch-Ebenen für System und Hardware

Das Sicherheitsupdate ist wie gewohnt in zwei Sicherheitspatch-Ebenen unterteilt. Der Patch-Level 2026-11-01 konzentriert sich auf das Framework sowie das System und umfasst 8 kritische sowie 111 hohe Schwachstellen.

Insgesamt deckt dieser Stand 119 Lücken in den Hauptkomponenten ab. Dazu gehören 65 Lücken im Framework, darunter die kritische Schwachstelle CVE-2026-58868, sowie ein Informationsleck in der Laufzeitumgebung ART unter CVE-2026-58988, das alle Versionen betrifft.

In der System-Komponente wurden 53 Lücken beseitigt, darunter zwei Möglichkeiten zur Remotecodeausführung, drei Rechteausweitungen und zwei Denial-of-Service-Probleme.

Angesichts der Vielzahl kritischer Schwachstellen im Android-System ist ein proaktiver Schutz für Nutzer von Online-Banking und sensiblen Apps unerlässlich. Dieser kostenlose Ratgeber zeigt Ihnen 5 einfache Maßnahmen, mit denen Sie Ihr Smartphone effektiv gegen Hacker und Datenmissbrauch absichern. 5 sofort umsetzbare Schutzmaßnahmen entdecken

Zu den weiteren kritischen System-Lücken zählen CVE-2026-58876 und CVE-2026-58936, die sich ebenfalls ohne Interaktion durch den Nutzer ausnutzen lassen. Das als Denial-of-Service eingestufte Problem CVE-2026-58882 wird im November-Bulletin als kritisch aufgeführt, betrifft die Versionen Android 14, 15, 16, 16 QPR2 und 17 und erfordert ein Patch-Level ab dem 5. November 2026. Über die Google-Play-Systemupdates (Mainline) werden 17 Lücken adressiert, darunter auch die kritische Lücke CVE-2026-58876, vor allem für Geräte ab Android 10.

Der Patch-Level 2026-11-05 deckt zusätzlich den Kernel und herstellerspezifische Komponenten ab und beinhaltet 15 kritische sowie 82 hohe Schwachstellen.

Wer die Sicherheit seines Geräts nicht allein dem Zufall überlassen möchte, sollte über die grundlegenden Update-Funktionen hinaus aktiv werden. Erfahren Sie in diesem Gratis-Report, wie Sie Sicherheitslücken dauerhaft schließen und Malware effektiv verhindern. Kostenlosen Sicherheits-Ratgeber herunterladen

Bei den Kernel-Korrekturen finden sich sechs kritische Lücken, unter anderem Rechteausweitungen in pKVM (CVE-2026-59044 und CVE-2026-59045), ein kritisches pKVM-Datenleck (CVE-2026-59048) sowie Schwachstellen im Bluetooth-Bereich (CVE-2026-53256 und CVE-2026-89774) und im HID-Subsystem (CVE-2026-80604).

Zudem schließt das Update Schwachstellen von Zulieferern: Im Modem von MediaTek wurden acht kritische Lücken (CVE-2026-20499 bis CVE-2026-20549) behoben. Für Qualcomm-Komponenten enthält das Paket 17 Fehlerbehebungen, darunter die als kritisch eingestufte Lücke CVE-2026-25285.

Verteilung und Reaktionen der Hersteller

Google hatte Gerätepartner mindestens einen Monat vorab über die Schwachstellen informiert. Die Quellcode-Korrekturen für das Android Open Source Project (AOSP) werden binnen 48 Stunden nach der Erstveröffentlichung bereitgestellt.

Der Konzern empfiehlt die zeitnahe Installation der Sicherheitsaktualisierungen und verweist darauf, dass der integrierte Schutzmechanismus Google Play Protect standardmäßig aktiv ist. Ein separates Pixel-Bulletin lag zum Berichtszeitpunkt noch nicht vor.

Auch Gerätehersteller bereiten die Verteilung vor. Samsung veröffentlichte Details zu seinem eigenen Sicherheitspaket für November 2026, das über 160 Schwachstellen in Android sowie Galaxy-Software und -Hardware adressiert.

Darin enthalten sind 155 Android-Fixes von Google sowie 24 herstellerspezifische Korrekturen (SVEs), von denen 17 öffentlich dokumentiert wurden. Die Einstufung umfasst 20 kritische Lücken von Google sowie 141 Lücken mit hohem Schweregrad (134 von Google, vier von Samsung Semiconductor und drei von Samsung MX) und 15 mit mittlerem Schweregrad.

Während Samsung Semiconductor Sicherheitslücken bei Exynos-Chips und Modems behebt, korrigiert Samsung MX unter anderem Probleme im Bootloader, bei der Eingabevalidierung, Pufferüberläufe sowie Schwachstellen in der Nachrichten-, Kontakte- und Telefonie-App. Die Verteilung auf berechtigte Galaxy-Geräte soll schrittweise nach Regionen und Modellreihen erfolgen.