Google behebt kritische Android-Sicherheitslücke, die Remotecodeausführung ermöglichen könnte

Googles Android-Sicherheitsbulletin für November enthält einen Patch für CVE-2026-58868, eine kritische Sicherheitslücke, die Remotecodeausführung ermöglichen könnte, ohne dass der Besitzer des Telefons etwas tun muss. Die Schwachstelle betrifft Android 14 bis 17; die Fehlerbehebung ist im Sicherheitspatchlevel 2026-11-01 oder höher enthalten. Gerätehersteller und Mobilfunkanbieter verteilen Updates nach eigenen Zeitplänen.

Bei der Sicherheitslücke handelt es sich um einen Heap-Pufferüberlauf, der einen Schreibzugriff außerhalb des gültigen Speicherbereichs in der Funktion onOutputReceived in FrameDecoder.cpp verursachen könnte. Googles Bulletin und der CVE-Eintrag erläutern nicht, wie ein Angreifer den betroffenen Code erreichen könnte. Googles Einstufung als kritisch setzt voraus, dass Androids integrierte Schutzmaßnahmen und die von Google deaktiviert oder umgangen werden.

Bis zum 4. November hatte Google keine Angriffe gemeldet, bei denen die Schwachstellen aus seinem Bulletin ausgenutzt wurden. CVE-2026-58868 war auch in der Aktualisierung vom 3. November nicht im Katalog der bekannten ausgenutzten Schwachstellen der US-amerikanischen Cybersecurity and Infrastructure Security Agency aufgeführt. Android 12 und 13 werden nicht als betroffen genannt, doch aus Googles Unterlagen geht nicht hervor, ob diese Versionen die Schwachstelle enthalten.

Um das Patchlevel eines Telefons zu überprüfen, öffne die Einstellungen, tippe auf „Über das Telefon“ oder „Über das Tablet“ und anschließend auf „Android-Version“. Dort findest du das Datum des Android-Sicherheitsupdates. Ein Datum vom 2026-11-01 oder später deckt CVE-2026-58868 und weitere aufgeführte Schwachstellen in den Android-Komponenten Framework, System und Laufzeitumgebung ab. Das Patchlevel 2026-11-05 behebt alle Schwachstellen des Bulletins, einschließlich derer, die den Kernel und Komponenten von Chip- und Technologieanbietern betreffen.

Googles Bulletin führt außerdem CVE-2026-58882 auf, eine separate kritische Schwachstelle, die ohne Interaktion des Nutzers eine Denial-of-Service-Situation aus der Ferne verursachen könnte. Laut dem zugehörigen CVE-Eintrag liegt das Problem in decodeWapPdu, einer Funktion zur Verarbeitung von per SMS zugestellten WAP-Push-Nachrichten. Die Beschreibung eines Forschers vom 29. Oktober erläuterte einen Fehler in derselben Funktion, doch weder Google noch der CVE-Eintrag bestätigen, ob es sich um dieselbe Schwachstelle handelt.

Das Bulletin umfasst 216 Schwachstellen, von denen 23 als kritisch eingestuft sind. Zwei weitere kritische Schwachstellen, die Remotecodeausführung ermöglichen könnten – CVE-2026-58876 und CVE-2026-58936 –, befinden sich in der Android-Systemkomponente. Das Patchlevel 2026-11-05 behebt außerdem kritische Probleme im Kernel, im Modemcode von MediaTek und in einer geschlossenen Qualcomm-Komponente. Googles Bulletin nennt keine Umgehungslösung für Telefone, die das Update noch nicht erhalten haben.

Quellen: The Hacker News.