Android-Patchday November 2026: Kritische Framework-Lücke ohne Nutzerinteraktion
Google hat am 2. November 2026 das Android-Sicherheitsbulletin veröffentlicht. Die kritische Lücke CVE-2026-58868 im Framework erlaubt Codeausführung aus der Ferne ohne Nutzerinteraktion. Alle Korrekturen bringt erst der Patch-Level 2026-11-05. Admins sollten den Stand ihrer Geräte im MDM prüfen.
Google hat am 2. November 2026 das Android-Sicherheitsbulletin für November veröffentlicht. Die schwerste Lücke, CVE-2026-58868, steckt im Framework und erlaubt laut Google Codeausführung aus der Ferne, ohne zusätzliche Rechte und ohne Zutun des Nutzers. Betroffen sind Android 14, 15, 16 und 17. Alle Korrekturen sind im Patch-Level 2026-11-05 enthalten.
Relevant ist das für Firmen mit dienstlichen Android-Smartphones und Tablets, ob verwaltet per MDM oder nicht. Hinweise auf laufende Angriffe nennt das Bulletin nicht, es gibt also keinen Notfall, aber einen Grund, die Verteilung der Updates in dieser Woche zu kontrollieren. Geräte ohne Herstellerupdates bleiben verwundbar.
Was ist passiert?
Das Bulletin verteilt die Korrekturen wie üblich auf zwei Patch-Level. Der Stand 2026-11-01 schließt Lücken in Framework, System, Android-Laufzeitumgebung und den Google-Play-Systemupdates. Der Stand 2026-11-05 enthält zusätzlich die Korrekturen für den Kernel und für Komponenten von Arm, Imagination, MediaTek, Unisoc und Qualcomm. Den Quellcode der Patches will Google innerhalb von 48 Stunden nach Veröffentlichung im Android Open Source Project bereitstellen.
Neben CVE-2026-58868 stuft Google im System-Bereich zwei weitere Lücken zur Codeausführung aus der Ferne als kritisch ein, CVE-2026-58876 und CVE-2026-58936. Hinzu kommen kritische Lücken zur Rechteausweitung, darunter CVE-2026-55275, CVE-2026-55283 und CVE-2026-58984. Laut heise stecken im Kernel außerdem zwei kritische Bluetooth-Lücken zur Rechteausweitung, kritisch sind auch Fehler im MediaTek-Modem und in einer Closed-Source-Komponente von Qualcomm.
Wer ist betroffen?
Die kritische Framework-Lücke betrifft laut Bulletin Android 14, 15, 16, 16-qpr2 und 17. Ob ein Gerät die Korrekturen erhält, hängt vom Hersteller ab: Laut heise stellen neben Google unter anderem Samsung und Honor regelmäßig Updates für ausgewählte Geräte bereit, Geräte anderer Hersteller erhalten sie oft erheblich später oder gar nicht. Welche Kernel- und Herstellerkorrekturen ein Gerät braucht, richtet sich nach den verbauten Chips.
Das Bulletin führt auch die als „SMS of Death“ bekannt gewordene Lücke CVE-2026-58882 als kritische DoS-Lücke. Laut heise hat Google den Patch dafür nach eigenen Angaben schon im Oktober bereitgestellt. S-EDV hat über den öffentlichen Proof of Concept zu dieser Lücke berichtet.
Wie kritisch ist das?
Google bewertet die Schwere nach den möglichen Folgen, unter der Annahme, dass Schutzmechanismen der Plattform umgangen werden. CVSS-Werte nennt das Bulletin nicht, ebenso wenig Details zum Angriffsweg. Einen Hinweis auf Ausnutzung enthält das November-Bulletin nicht. Codeausführung ohne Nutzerinteraktion ist für Mobilgeräte mit Firmendaten trotzdem ein hohes Risiko.
Was sollten Admins jetzt tun?
- Inventar: im MDM den Sicherheitspatch-Level aller Android-Geräte auslesen und Geräte mit Android 13 oder älter gesondert markieren.
- Patchstand: als Ziel 2026-11-05 festlegen, 2026-11-01 deckt nur einen Teil ab.
- Richtlinien: Mindest-Patch-Level als Bedingung für den Zugriff auf Mail und Firmendaten setzen, sobald die Hersteller ausgeliefert haben.
- Altgeräte: Smartphones ohne Herstellerupdates für den Austausch einplanen.
- Nutzer: Mitarbeitende bitten, ausstehende System- und Google-Play-Systemupdates einzuspielen und das Gerät neu zu starten.
Einordnung für Unternehmen
Der monatliche Android-Patchday ist Routine, die Verteilung ist es nicht. Je nach Hersteller kommt das Update erheblich später oder gar nicht auf dem Gerät an. Unternehmen, die Patch-Level im MDM als Zugangsbedingung nutzen, sehen die Lücke im Bestand sofort, alle anderen erst beim nächsten Vorfall.
Passende Anleitungen auf S-EDV
- Android „SMS of Death“: Proof of Concept für CVE-2026-58882 öffentlich
- iPhone und iPad im Unternehmen mit Intune verwalten
