LONDON (IT BOLTWISE) – Google verteilt Updates für einen kritischen Android-Fehler (CVE-2026-58868), der laut Bulletin Remote Code Execution ohne Nutzeraktion ermöglichen kann. Betroffen sind Android 14 bis 17, behoben durch ein Security-Patch-Level ab 2026-11-01 oder später. Parallel adressiert Google weitere kritische Lücken im November-Bulletin, darunter CVE-2026-58882, das für einen Remote-Denial-of-Service über WAP-Push per SMS verantwortlich sein könnte. Eine konkrete Angriffsanleitung nennt Google dabei nicht, Nutzer können das Risiko jedoch über ihre Patch-Levels gezielt prüfen.
Mit dem November-Sicherheitsupdate verschärft Google die Lage bei Android auf gleich mehreren Ebenen: Während eine kritische Schwachstelle Remote Code Execution ohne Nutzerinteraktion ermöglichen kann, droht bei einer zweiten Lücke ein Remote-Denial-of-Service, der sogar laufende Telefonate beenden kann. Im Zentrum steht CVE-2026-58868, denn der Fehler wurde von Google als Critical eingestuft und betrifft Android 14 bis 17. Laut Bulletin erhalten Geräte die Korrektur erst mit einem Security-Patch-Level ab dem 2026-11-01; da Hersteller und Mobilfunkanbieter die Rollouts nach eigenem Takt verteilen, ist der Zeitpunkt in der Praxis je nach Modell und Region unterschiedlich.
Technisch beschreibt Google CVE-2026-58868 als möglichen Out-of-bounds-Write, verursacht durch einen Heap-Buffer-Overflow in der Funktion onOutputReceived aus der Datei FrameDecoder.cpp. Damit ist klar, dass der Angriffsweg nicht über eine klassische „Benutzer klickt auf Link“-Interaktion laufen muss, sondern über eine Codepfad-Ausführung, sobald der betroffene Decoder in Aktion kommt. Allerdings lässt sowohl das Bulletin als auch der zugehörige Eintrag der CVE offen, wie ein Angreifer genau an den fraglichen Code gelangt. Für Security-Teams heißt das: Patch-Management ist hier nicht nur „Best Practice“, sondern die einzige verlässliche Maßnahme, wenn keine funktionalen Workarounds dokumentiert sind.
Ein wichtiger Punkt in Googles Bewertung: Die Critical-Einstufung geht davon aus, dass Schutzmechanismen in Android und bei Googles Diensten zumindest zeitweise deaktiviert oder umgangen sein können. Für Organisationen mit Mobilgeräten bedeutet das, dass man sich nicht darauf verlassen sollte, „Sandboxing“ oder Hardening als pauschalen Risikopuffer zu interpretieren, solange die konkrete Nutzlast und die Umgehungsart unklar bleiben. Gleichzeitig nennt Google keine Betroffenheit für ältere Versionen wie Android 12 oder 13; der Fix ist also an der Versionierung und damit am Geräte-Patching gekoppelt. Parallel weist Google darauf hin, dass zum Stand der Veröffentlichung keine Angriffe bekannt waren, die die genannten Schwachstellen aktiv ausnutzen, und dass keiner der Fehler in dem von der US-Behörde CISA geführten Katalog für „Known Exploited Vulnerabilities“ enthalten war (Stand der dortigen Aktualisierung am 3. November).
Damit rückt die Frage in den Vordergrund, wie Anwender und Unternehmen den Status ihrer Geräte schnell verifizieren können. Googles Supportseite führt dafür einen praktischen Weg über die Geräteeinstellungen: In der App „Einstellungen“ öffnet man „About phone“ beziehungsweise „About tablet“, dann „Android version“. Dort lassen sich zwei Zeitstempel finden: der Android Security Update-Stand (entspricht dem Security-Patch-Level) und zusätzlich der Google Play system update. Für CVE-2026-58868 ist entscheidend, dass der Android Security Update-Stand mindestens den 2026-11-01 erreicht; genau dieses Datum deckt die genannten Lücken in Framework, System und Android Runtime ab. Wer hingegen alle Fehler des November-Bulletins inklusive Kernel und Komponenten von Arm, Imagination Technologies, MediaTek, Unisoc und Qualcomm abdecken will, muss auf ein Systemdatum ab 2026-11-05 achten.
Neben CVE-2026-58868 arbeitet Google im November-Bulletin auch eine zweite kritische Kategorie ab: CVE-2026-58882, ebenfalls ohne Nutzerinteraktion als mögliches Remote-Denial-of-Service-Szenario beschrieben. Der Fehler liegt in decodeWapPdu, also in der Android-Implementierung für WAP-Push-Nachrichten, die über SMS eingehen. In der Sicherheits-Community wurde dazu ein Proof-of-Concept diskutiert; zusätzlich existiert ein technischer Write-up, der das Problem als „SMS of Death“ bezeichnet und sich auf denselben Funktionsbereich bezieht. In dessen Darstellung kann eine bestimmte fehlerhafte WAP-Push-Nachricht den Prozess com.android.phone zum Absturz bringen und damit aktive Anrufe, einschließlich Notrufe, beenden. Der Angreifer benötigt dafür lediglich die Telefonnummer des Ziels; die Nachricht taucht dabei nicht im Posteingang auf, und weil das Gerät das Senden beim erneuten Start wiederholt, kann das Problem potenziell wie eine „Crash-Schleife“ wirken, bis die Nachricht entfernt ist. Wichtig: Weder Bulletin noch CVE-Text bestätigen, ob CVE-2026-58882 deckungsgleich mit genau diesem beschriebenen Bug ist, aber die Funktionsbeschreibung und die Remote-Natur machen die Dringlichkeit deutlich.
Googles November-Paket umfasst insgesamt 216 Schwachstellen; 23 davon wurden als Critical bewertet. Zusätzlich zu CVE-2026-58868 und CVE-2026-58882 nennt das Bulletin weitere Critical-Lücken, darunter CVE-2026-58876 und CVE-2026-58936, beide im Android-Systemkomponenten-Bereich. Im Kernel sind sechs Critical-Schwachstellen enthalten, zwei davon im Bluetooth-Code; die schwerste davon könnte einem Remote-Angreifer eine Privilegsteigerung ohne Nutzerinteraktion ermöglichen. Ergänzend behebt der Patch-Level 2026-11-05 kritische Probleme in Modem-Code von MediaTek sowie in einer geschlossenen Qualcomm-Komponente. Dass Hersteller für einzelne Komponenten eigene Fehlermuster ausweisen, zeigt sich auch in den Angaben zu MediaTek: dort werden die Critical-Modem-Fälle als Out-of-bounds-Write beschrieben, während gleichzeitig betont wird, dass keine aktive Ausnutzung bekannt ist.
Für die Praxis folgt daraus ein klarer Handlungsrahmen: Wer Geräteflotten steuert, sollte die Geräte nicht nur nach „Android-Version“ klassifizieren, sondern anhand der beiden Patch-Levels, die Google explizit nennt, priorisieren. Besonders kritisch ist die Verknüpfung aus Remote-Fähigkeit und fehlendem dokumentierten Workaround: Bei CVE-2026-58868 und beim WAP-Push-Thema ist der Patch der entscheidende Hebel. Zudem macht Googles Hinweis, dass Android 10 oder später manche Fixes über Google Play system updates erhalten können, deutlich, dass Unternehmen bei der Rollout-Planung nicht nur auf Firmware-Updates achten sollten, sondern auch die Update-Pipeline über den Play-Systemkanal im Blick behalten müssen. Je schneller die passenden Security- bzw. November-2026-Datenstände auf den Geräten erreicht werden, desto geringer wird das Zeitfenster, in dem Angriffsversuche trotz der zum Veröffentlichungszeitpunkt noch nicht gemeldeten aktiven Ausnutzung realistisch werden könnten.
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Google stopft zwei kritische Android-Risiken: RCE ohne Nutzeraktion und „SMS of Death“" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Google stopft zwei kritische Android-Risiken: RCE ohne Nutzeraktion und „SMS of Death“" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Google stopft zwei kritische Android-Risiken: RCE ohne Nutzeraktion und „SMS of Death“« bei Google Deutschland suchen, bei Bing oder Google News!