Google hat bestätigt, dass eine Sicherheitslücke im Modem seiner Pixel-Smartphones bereits in gezielten, begrenzten Angriffen ausgenutzt wurde, bevor ein Patch verfügbar war.
Die als CVE-2026-58704 geführte Schwachstelle erlaubt einen Zero-Click-Exploit, bei dem Angreifer ohne jegliche Interaktion des Nutzers Zugriff auf sensible Daten erhalten und Android-Sicherheitsmechanismen umgehen können, wie androidpolice.com am 16. September 2026 berichtete.
Kritische Schwachstelle mit hoher Bewertung
Die Lücke trägt laut f5.pm einen CVSS-Wert von 8.0 und wird als High-Severity-Zero-Day eingestuft. Ursache ist ein Logikfehler, der eine Umgehung von Berechtigungsprüfungen ermöglicht und Angreifern eine Rechteausweitung aus der Ferne erlaubt – ohne dass Betroffene etwas tun müssen.
Die CISA bewertet dieselbe Schwachstelle laut heise.de mit einem CVSS-Wert von 8,8 und beschreibt sie ebenfalls als Auth-Bypass durch einen Logikfehler mit Privilegien-Eskalation ohne Nutzerinteraktion. Techcrunch berichtete, dass die Rechteausweitung aus der Modem-Sandbox heraus auf das gesamte Gerät erfolgt.
Google nennt keine Angreifer namentlich; Spyware-Hersteller gelten laut techcrunch.com als mögliche Nutzer solcher Schwachstellen. Wie viele Geräte betroffen waren oder wie viele Opfer es gab, ist laut androidpolice.com bislang unbekannt.
Behörden unter Zeitdruck
Die US-Cybersicherheitsbehörde CISA hat die Schwachstelle in ihren Katalog bekannter ausgenutzter Schwachstellen (KEV) aufgenommen. US-Bundesbehörden müssen die Lücke laut androidauthority.com bis zum 19. September 2026 schließen – eine Frist von nur drei Tagen ab der Meldung.
Laut theregister.com wurden zuvor bereits zwei Chromium-Schwachstellen, CVE-2026-85046 und CVE-2026-87491, in den KEV-Katalog aufgenommen; Zero-Click-Angriffe würden nach Einschätzung der Behörde häufig von kommerziellen Spyware-Anbietern genutzt.
Wer sich mit den aktuellen Sicherheitsrisiken für mobile Geräte befasst, sollte den Schutz des eigenen Geräts nicht dem Zufall überlassen. Dieser kostenlose PDF-Ratgeber zeigt Ihnen 5 einfache Schritte, mit denen Ihr Android-Smartphone sofort sicherer wird. 5 Schutzmaßnahmen jetzt entdecken
Umfangreiches September-Update
Google hat die Lücke im September-2026-Update für Pixel-Geräte geschlossen. Der Patch-Level 2026-09-05 schützt laut f5.pm vor CVE-2026-58704 sowie vor weiteren kritischen Fehlern in Kernel, Modem, Bootloader, Telephony, TEE, GPU, Bluetooth, NFC, pKVM, IMS, libpixelimsmedia, VPU und BigOcean. Nach Angaben von 9to5google.com behebt das September-Update insgesamt über 200 Lücken.
Androidauthority.com beziffert die zusätzlich zur Modem-Lücke behobenen Fehler auf 109, darunter mehrere mit hoher Schwere. Zerohour.day nennt für das Pixel-Bulletin 110 behobene Lücken, davon 12 kritische Remote-Code-Execution-Fehler, während das allgemeine Android-Update rund 180 Schwachstellen adressiere, darunter einen Wi-Fi-Bug mit der Kennung CVE-2026-28662.
Das Update wird als Android 17 QPR1 Stable inklusive Pixel Drop ausgeliefert, mit dem Build CP3A.260905.009 für die Modellreihe von Pixel 6 bis Pixel 10 einschließlich Pixel Tablet und Pixel Fold, wie droid-life.com berichtete.
Laut androidpure.com erhalten insgesamt 24 Pixel-Modelle von Pixel 6 bis zur Pixel-11-Serie einschließlich Fold das Update, das Pixel Tablet ist davon jedoch ausgenommen. Für Pixel 6 und 6 Pro handelt es sich um das letzte große Update, da diese Geräte im kommenden Monat das Ende ihres Support-Zeitraums erreichen. Die neue Pixel-11-Serie erhält das QPR1-Update dagegen nicht.
Angesichts der zunehmenden Bedrohungen durch Hacker und Malware ist es für Android-Nutzer unerlässlich, ihr Gerät auf dem neuesten Stand zu halten. Erfahren Sie in diesem gratis Report, wie Sie durch die richtigen Updates Sicherheitslücken schließen und Ihre Daten effektiv schützen. Kostenlosen Android-Update-Ratgeber herunterladen
Einordnung in die Bedrohungslage
Google Threat Intelligence dokumentierte für 2025 insgesamt 90 Zero-Day-Schwachstellen, gegenüber 78 im Jahr 2024. Laut techtimes.com werden 34,9 Prozent davon kommerziellen Spyware-Anbietern zugeschrieben – ein Hinweis darauf, dass Angriffe wie der auf die Pixel-Modem-Lücke Teil eines größeren Trends professionalisierter Überwachungssoftware sein könnten.
Auch andere Hersteller patchen
Parallel zum Pixel-Update rollt Samsung den September-2026-Sicherheitspatch aus, unter anderem für Galaxy S26 FE, Galaxy A55 und Galaxy A56, mit Start in Korea.
Nach Angaben von androidheadlines.com umfasst das Update 90 Fixes: 58 stammen von Google (18 kritisch, 40 hoch), 31 von Samsung Mobile selbst (2 kritisch, 3 hoch, 15 moderat, 11 nicht klassifiziert) sowie ein hoch eingestufter Fix von Samsung Semiconductor.
Zudem beginnt Samsung laut phandroid.com und androidpure.com mit der Verteilung von One UI 9 auf Basis von Android 17 für die Galaxy-S26-Serie, ebenfalls inklusive September-Sicherheitspatch, mit Start in Südkorea und ab dem 21. September 2026 auch in Kanada.
Auch Oracle hat sein September-2026-Sicherheitsupdate veröffentlicht. Das Critical Patch Update umfasst laut securityweek.com 673 neue Patches, die mehr als 800 Schwachstellen in 17 Produktfamilien beheben, davon über 100 kritisch und mehr als 240 remote ohne Authentifizierung ausnutzbar.
Nach Angaben von Oracle selbst und qualys.com liegt der Schwerpunkt auf der E-Business Suite mit 159 Patches sowie Fusion Middleware mit 153 Patches. Eine aktive Ausnutzung der Oracle-Schwachstellen ist bislang nicht bekannt.
Mehr zum Thema bei The Register: „Google Pixel phones pwned in zero“
