// HEISE ONLINE — MOBILE & WEB
Patchday: Kritische Lücken ermöglichen Attacken auf Android 14, 15, 16 und 17
Der September-Patchday für Android schließt über 90 Sicherheitslücken, darunter mehr als 25 kritische Schwachstellen in Framework, System und Kernel.
This article is also available in
English.
It was translated with technical assistance and editorially reviewed before publication.
Google hat in der zweiten Septemberwoche sein Security-Bulletin für Android veröffentlicht. Sicherheitslücken im Framework, Kernel und System gefährden Smartphones und Tablets mit Android 14, 15, 16, 16-qpr2 und 17. Wer ein noch im Support befindliches Gerät besitzt, sollte sicherstellen, dass die aktuellen Sicherheitsupdates installiert sind. Einige der Schwachstellen können laut Google über die Play-Dienste, also direkt durch Google geflickt werden, die meisten von ihnen erfordern jedoch ein Update vonseiten des jeweiligen Geräteherstellers.
Wie aus der Auflistung der Schwachstellen im Android-Security-Bulletin hervorgeht, hat Google in diesem Monat über 90 Lücken geschlossen, von denen 26 als „kritisch“ und 68 als „hoch“ eingestuft sind.
Neben Google veröffentlichen noch weitere Hersteller regelmäßig Sicherheitspatches - aber meist nur für einige Produktserien. Geräte anderer Hersteller bekommen die Updates erheblich später oder, im schlimmsten Fall, gar nicht.
Google unterteilt die Patches in zwei Sicherheitspatch-Level: Die Patches vom 1. September 2026 adressieren primär Schwachstellen im Android-Framework und den System-Komponenten. Die schwerwiegendsten Sicherheitslücken in den Framework- und System-Bereichen könnten laut Google zu einer Fernausweitung von Berechtigungen führen, ohne dass zusätzliche Ausführungsrechte erforderlich sind. Für die Ausnutzung sei keine Benutzerinteraktion erforderlich.
Der Sicherheitspatch-Level vom 5. September 2026 behebt vor allem Schwachstellen in Kernel-Komponenten und herstellerspezifischen Treiber-Bausteinen von Arm, MediaTek, Imagination Technologies, Qualcomm und weiteren.
Google und Samsung haben bereits damit begonnen, die Patches auf erste Pixel- und Galaxy-Geräte auszuliefern. Bei anderen Herstellern wie Motorola, Xiaomi, Oppo oder Nothing könnte es bisweilen etwas länger dauern, bis die Geräte mit den Patches versehen werden.
Bislang gibt es seitens Google keine Hinweise, dass Angreifer die Lücken bereits ausnutzen. Wer Sicherheitsupdates für sein Gerät bekommt, sollte dennoch nicht zu lange mit der Installation der Patch Levels 2026-09-01 oder 2026-09-05 zögern. Seit Juli 2025 schließt Google monatlich nur noch besonders gefährliche Sicherheitslücken und verteilt weitere Updates quartalsweise.
Für Besitzerinnen und Besitzer eines Pixel 6 und neuer steht in diesem Monat voraussichtlich noch das erste größere Update auf Android 17 QPR1 als Pixel Drop aus. Für das Pixel 6 und 6 Pro ist es das letzte Update – der Softwaresupport läuft nach fünf Jahren aus.