Google hat das Android-Sicherheitsbulletin für November 2026 veröffentlicht und darin 23 kritische Schwachstellen dokumentiert. Insgesamt umfasst das Update 216 Sicherheitslücken, darunter neben den 23 als kritisch eingestuften Fehlern auch 193 Schwachstellen mit dem Schweregrad „High“. Die Behebungen verteilen sich wie gewohnt auf zwei unterschiedliche Sicherheitspatch-Ebenen.
Aufteilung auf zwei Patch-Ebenen
Das Patch-Level 2026-11-01 adressiert insgesamt 119 Schwachstellen. Davon entfallen 65 auf das Framework, 53 auf das System und eine auf die Android Runtime. Acht dieser Lücken sind als kritisch eingestuft.
Mit dem Patch-Level 2026-11-05 schließt Google 97 weitere Lücken. Diese betreffen den Kernel sowie Komponenten von Arm, Imagination Technologies, MediaTek, Unisoc und Qualcomm. Auf dieser zweiten Sicherheitsebene sind 15 Schwachstellen als kritisch deklariert.
Kritische Code-Ausführung und Denial-of-Service
Als schwerwiegendste Schwachstelle führt Google den Fehler CVE-2026-58868 (A-486464711) an. Es handelt sich um eine kritische Lücke zur entfernten Code-Ausführung im Framework, die ohne vorherige Nutzerinteraktion und ohne erweiterte Privilegien ausgenutzt werden kann. Betroffen sind die Versionen Android 14, 15, 16, 16-qpr2 und 17. Ursache ist ein Heap-Buffer-Overflow in FrameDecoder.cpp.
Zwei weitere kritische Systemlücken zur Code-Ausführung sind CVE-2026-58876, ein Use-after-free-Fehler in den Media Codecs, sowie CVE-2026-58936, ein Use-after-free in libpng (png_set_tRNS).
Millionen Android-Nutzer sind täglich Hackern schutzlos ausgeliefert – ohne es zu wissen. Ein veraltetes Smartphone ist wie eine offene Haustür für Cyberkriminelle, doch dieser kostenlose Report zeigt Ihnen, wie Sie sich wirksam schützen. 5 einfache Schritte für mehr Smartphone-Sicherheit jetzt entdecken
Darüber hinaus nennt Google kritische Lücken zur Rechteausweitung im System: CVE-2026-55275 (Remote-Eskalation ab Android 16), CVE-2026-55283 und CVE-2026-58984.
Besondere Aufmerksamkeit erfordert zudem ein als „SMS of Death“ bekannt gewordener System-Fehler unter CVE-2026-58882. Eine fehlerhaft formatierte WAP-Push-Nachricht bringt dabei den Prozess com.android.phone zum Absturz, was aktive Anrufe sowie Notrufe beendet.
Rund 20 solcher Kurznachrichten können das Gerät in eine Neustart-Schleife versetzen. Die Lücke betrifft Android 14 bis 17; ältere Geräte mit Android 13 oder früheren Versionen erhalten den Patch vorerst nicht.
Kernel- und Hardware-Komponenten
Das Patch-Level 2026-11-05 behebt sechs kritische Kernel-Lücken: jeweils zwei im Bereich Bluetooth (CVE-2026-53256 und CVE-2026-89774), eine in HID (CVE-2026-80604) sowie zwei im Hypervisor pKVM (CVE-2026-59044 und CVE-2026-59045).
Ebenfalls im pKVM-Hypervisor wurde eine kritische Datenleck-Lücke unter CVE-2026-59048 behoben. Des Weiteren führt das Update acht kritische Modem-Lücken von MediaTek (CVE-2026-20499 bis CVE-2026-20549) und eine kritische Lücke in Closed-Source-Code von Qualcomm (CVE-2026-25285) auf.
Nach Angaben von Google liegt bisher kein Bericht über eine Ausnutzung der Schwachstellen in freier Wildbahn vor; auch eine gezielte begrenzte Ausnutzung sei nicht verzeichnet.
Wer sich mit der Sicherheit seines mobilen Geräts befasst, sollte die regelmäßigen Systemaktualisierungen nicht dem Zufall überlassen. Erfahren Sie in diesem gratis PDF-Ratgeber, wie automatische Updates Ihr Gerät rund um die Uhr vor Datenverlust und Malware schützen. Kostenlosen Android-Sicherheitsreport anfordern
Rollout und Partner-Updates
Insgesamt 17 Korrekturen werden vorab über die Google Play System Updates verteilt, darunter die kritische Schwachstelle CVE-2026-58876. Patches für das Android Open Source Project sollen innerhalb von 48 Stunden nach der Veröffentlichung bereitgestellt werden.
Gerätehersteller wurden mindestens einen Monat im Voraus über die Sicherheitslücken informiert. Neben dem Android-Bulletin legte Google auch Updates für Android XR mit einer High-Schweregrad-Lücke im Framework sowie für Wear OS mit zwei High-Lücken in Framework und System vor. Das Pixel-spezifische Bulletin lag zum Berichtszeitpunkt noch nicht vor.
Auch Gerätehersteller und Zulieferer haben eigene Bulletins herausgegeben: MediaTek informierte über sechs kritische Modem-Lücken, wobei die Gerätehersteller zwei Monate vorher benachrichtigt wurden und keine Ausnutzung bekannt sei.
Samsung veröffentlichte ein Bulletin, das neben 20 kritischen Google-Fixes auch 24 herstellerspezifische Lücken der Galaxy-Reihe auflistet, darunter Fehler in Exynos-Komponenten, im Bootloader, beim SIM-Lock sowie in Apps für Telefonie, Kontakte und Nachrichten. Der Rollout bei Samsung erfolgt gestaffelt nach Modell und Region.