Google hat sein Android-Sicherheitsbulletin für September 2026 veröffentlicht und behebt darin Schwachstellen für die Systemversionen Android 14 bis 17. Wie icrewplay.com berichtete, enthält das Update kritische Fehler mit Möglichkeit zur Remote-Code-Ausführung (RCE), die ohne jegliche Nutzerinteraktion ausgenutzt werden können.
Umfang des Updates
Laut einem Bericht von impress.co.jp behebt Google im September-Bulletin insgesamt 180 Schwachstellen. Davon werden 32 als kritisch und 148 als hochgradig eingestuft.
Besonders brisant: Eine der RCE-Lücken im System lässt sich ohne erweiterte Privilegien ausnutzen, was das Risiko für Angreifer erheblich senkt. Nutzer, die ihre Geräte umfassend absichern wollen, sollten laut Google auf das Patch-Level 2026-09-05 aktualisieren, da erst dieses sämtliche Korrekturen enthält.
Millionen Android-Nutzer sind täglich Hackern schutzlos ausgeliefert – ohne es zu wissen. Ein veraltetes Smartphone ist wie eine offene Haustür für Cyberkriminelle. Dieser kostenlose Report zeigt, wie Sie sich schützen. 5 einfache Schritte für ein sichereres Android-Smartphone
Parallel zum Hauptbulletin verteilt Google zudem ein kleineres Google-Play-System-Update. Der Status dieses Updates bleibt gegenüber dem Vormonat unverändert (2026-08-01), die App-Version trägt die Bezeichnung v2026-08-01S+. Es enthält laut jetstream.blog zusätzliche Sicherheits- und Fehlerkorrekturen.
Samsung veröffentlicht eigenes Bulletin
Zeitgleich mit Google hat auch Samsung sein eigenes Sicherheitsbulletin mit der Bezeichnung SMR-SEP-2026 veröffentlicht. Wie sammyguru.com berichtete, behebt der südkoreanische Hersteller im September-Update insgesamt 90 Schwachstellen. Davon stammen 58 aus dem Android Security Bulletin von Google – darunter 18 kritische und 40 hochgradige Lücken.
Die übrigen 31 Schwachstellen sind laut Samsung eigene, unternehmensinterne Findings (SVE). Das Update umfasst zudem Korrekturen für die Exynos-Chipsätze, die Verarbeitung von DNG- und JPEG-Bildern, das Display, WLAN-Funktionen sowie den Sicherheitsspeicher KnoxVault.
Besonders hervorzuheben sind laut einem Bericht von notebookcheck.net zwei kritische Schwachstellen in den Bilddecodern von Samsung-Geräten, die unter den Kennungen SVE-2026-3247 und SVE-2026-3282 sowie den zugehörigen CVE-Nummern 2026-21095 und 2026-21096 geführt werden. Es handelt sich dabei um Heap-basierte Buffer-Overflows in den DNG/JPEG-Decodern, die ebenfalls ohne Nutzerinteraktion ausgenutzt werden können und Geräte mit Android 14 bis 17 betreffen. Diese Schwachstellen wurden von Googles Sicherheitsteam Project Zero gemeldet.
Banking, E-Mails, Fotos – auf keinem anderen Gerät speichern wir so viele sensible Daten wie auf dem Smartphone. Erfahren Sie in diesem kostenlosen Ratgeber, wie Sie Ihr Gerät mit fünf einfachen Maßnahmen effektiv vor fremden Zugriffen schützen. Gratis-Sicherheits-Ratgeber für Android-Nutzer herunterladen
Kritische Lücken ohne Nutzeraktion
Ein Bericht von esecurityplanet.com bestätigt, dass Samsungs September-Sicherheitsbulletin die genannten 90 Schwachstellen behebt, darunter 18 kritische und 40 hochgradige Fehler, die ursprünglich von Google identifiziert wurden.
Die kritischen Android-Fehler ermöglichen demnach eine Remote-Code-Ausführung, ohne dass Betroffene irgendeine Handlung vornehmen müssen – etwa durch das bloße Öffnen einer manipulierten Bilddatei. Auch für Samsung-Geräte gilt das Patch-Level 2026-09-05 als Voraussetzung für den vollständigen Schutz.
Handlungsempfehlung für Nutzer
Angesichts der hohen Zahl kritischer Schwachstellen, die keine Nutzerinteraktion voraussetzen, empfehlen Sicherheitsexperten in der Regel, verfügbare System-Updates zeitnah zu installieren. Betroffen sind sowohl Geräte mit reinem Android in den Versionen 14 bis 17 als auch Samsung-Smartphones, die zusätzlich die herstellereigenen SVE-Korrekturen benötigen.
Da die gemeldeten Lücken unter anderem die Bildverarbeitung sowie Systemkomponenten ohne Privilegienbedarf betreffen, gilt eine zeitnahe Aktualisierung als wesentlicher Schutzmechanismus gegen mögliche Angriffe.
