AKTUELL
Android-Sicherheitsupdate September 2026 schließt acht kritische RCE-Lücken
Das Android-Sicherheitsupdate September 2026 schließt im zentralen Systembereich acht kritisch eingestufte Schwachstellen, über die Angreifer unter bestimmten Voraussetzungen Schadcode aus der Ferne ausführen könnten. Google veröffentlichte das zugehörige Android-Sicherheitsbulletin am 8. September. Die schwerste beschriebene Angriffsklasse benötigt demnach weder zusätzliche Berechtigungen noch eine bewusste Aktion des Nutzers.
Das Bulletin ist allerdings noch kein Update, das automatisch auf jedem Smartphone angekommen ist. Google stellt die Korrekturen für Android bereit, während Gerätehersteller und teilweise Mobilfunkanbieter über den tatsächlichen Rollout entscheiden. Für Nutzer ist deshalb nicht allein die installierte Android-Version wichtig, sondern vor allem das angezeigte Datum des Sicherheitsupdates.
Android-Sicherheitsupdate September 2026: Acht RCE-Lücken im System
RCE steht für „Remote Code Execution“, also die Ausführung von Code aus der Ferne. Google führt im Systembereich die acht Schwachstellen CVE-2026-28604, CVE-2026-28618, CVE-2026-28639, CVE-2026-28662, CVE-2026-49882, CVE-2026-49884, CVE-2026-49919 und CVE-2026-49921 als kritisch auf.
Sechs dieser Lücken betreffen laut der veröffentlichten AOSP-Tabelle Android 14, 15, 16, Android 16 QPR2 und Android 17. CVE-2026-28618 und CVE-2026-28662 werden nur für Android 16, Android 16 QPR2 und Android 17 genannt. Diese Versionsangaben beschreiben die betroffenen Android-Codezweige. Sie belegen nicht, dass jedes Smartphone mit einer dieser Versionen in identischer Weise verwundbar ist, weil Hersteller einzelne Komponenten anpassen oder bestimmte Hardwarebestandteile nicht einsetzen.
Neben den acht RCE-Lücken enthält das Bulletin weitere kritische Schwachstellen, die eine Ausweitung von Berechtigungen oder einen Ausfall des Systems ermöglichen könnten. Hinzu kommen zahlreiche hoch eingestufte Fehler in Framework, Laufzeitumgebung, Kernel und Komponenten verschiedener Chiphersteller. Das Bulletin enthält keinen Hinweis auf eine bestätigte aktive Ausnutzung der acht RCE-Lücken. Das darf jedoch nicht mit einer Entwarnung verwechselt werden: Die Einstufung beschreibt das mögliche technische Schadenspotenzial, nicht die derzeitige Verbreitung von Angriffen.
Zwei Patchstände erfüllen unterschiedliche Aufgaben
Google unterscheidet zwischen den Patchständen 2026-09-01 und 2026-09-05. Der erste Stand deckt die allgemeinen Android-Komponenten des September-Bulletins ab. Ein Patchstand vom 5. September 2026 oder neuer umfasst zusätzlich die für die zweite Stufe vorgesehenen Korrekturen, darunter Fehler im Kernel und in herstellerspezifischen Komponenten. Erst dieser neuere Stand schließt nach Googles Dokumentation alle auf das jeweilige Gerät anwendbaren Schwachstellen des Bulletins.
Ein Teil der Korrekturen betrifft Project-Mainline-Komponenten, die über Google-Play-Systemupdates aktualisiert werden können. Darunter befinden sich beispielsweise Media-Codecs, WLAN-Komponenten und Teile von Android Debug Bridge. Ein aktuelles Google-Play-Systemupdate beweist dennoch nicht automatisch, dass auch sämtliche übrigen September-Lücken geschlossen sind. Android-Sicherheitsupdate und Google-Play-Systemupdate werden in den Einstellungen deshalb getrennt ausgewiesen.
Samsung ergänzt eigene Sicherheitskorrekturen
Samsung hat parallel sein September-Sicherheitspaket für wichtige Galaxy-Modelle dokumentiert. Es verbindet die anwendbaren Google-Korrekturen mit einem Patch für eine Samsung-Halbleiterkomponente und 31 Samsung Vulnerabilities and Exposures, kurz SVE.
Besonders relevant sind zwei Samsung-spezifische Schwachstellen in Decodern für DNG- und JPEG-Bilder. Nach Angaben des Herstellers könnten entfernte Angreifer darüber beliebigen Code ausführen. Betroffen sind Samsung-Komponenten unter Android 14 bis Android 17. Beide Lücken wurden Samsung vertraulich gemeldet; einen Hinweis auf bereits beobachtete Angriffe enthält die Veröffentlichung nicht.
Die Dokumentation bedeutet noch nicht, dass jedes unterstützte Galaxy-Gerät das Paket bereits erhalten hat. Samsung weist ausdrücklich darauf hin, dass der Auslieferungszeitpunkt je nach Modell und Region abweichen kann. Auch können einzelne Korrekturen aus technischen Gründen schon in einem früheren Paket enthalten sein oder erst mit einem späteren Update ankommen.
Was Android-Nutzer jetzt prüfen sollten
Der aktuelle Patchstand steht gewöhnlich unter „Einstellungen“, „Über das Telefon“ und „Android-Version“. Dort werden das Android-Sicherheitsupdate und das Google-Play-Systemupdate separat angezeigt. Unter „System“ und „Softwareupdates“ lässt sich anschließend manuell nach verfügbaren Aktualisierungen suchen. Die genaue Bezeichnung unterscheidet sich je nach Hersteller. Google beschreibt den Weg in seiner Android-Hilfe.
Steht beim Android-Sicherheitsupdate der 5. September 2026 oder ein späteres Datum, sind die für das Gerät anwendbaren Korrekturen dieses Bulletins nach Googles Systematik enthalten. Beim Patchstand 1. September ist nur die erste Stufe abgedeckt. Ein älteres Datum zeigt, dass zumindest dieses vollständige September-Paket noch nicht installiert ist.
Fehlt das Update, ist das nicht automatisch ein Anzeichen für einen Angriff. Die Verteilung kann sich nach Gerät, Hersteller, Region und Mobilfunkanbieter unterscheiden. Nutzer sollten verfügbare Systemupdates installieren, das Smartphone danach neu starten und auf inoffizielle Firmware aus unbekannten Quellen verzichten. Google Play Protect kann Angriffe zusätzlich erschweren, ersetzt den aktuellen Sicherheitsstand des Betriebssystems aber nicht.
Das September-Bulletin ist damit eine ernst zu nehmende, aber nicht zu dramatisierende Sicherheitsmeldung. Entscheidend ist keine vorsorgliche Veränderung von Apps oder Konten, sondern eine einfache Kontrolle des Patchdatums und die Installation des offiziellen Herstellerupdates, sobald es für das eigene Gerät bereitsteht.
Stand der Recherche: 9. September 2026, 15:01 Uhr CEST.
Hauptquellen
- Android Open Source Project: Android Security Bulletin – September 2026
- Samsung Mobile Security: Security Maintenance Release September 2026
- Google Android-Hilfe: Android-Version prüfen und aktualisieren
Technik-Deals im Überblick
Ausgewählte Angebote und zeitlich begrenzte Preisaktionen rund um Technik und Gadgets.
Mehr auf gadgetChecks
Entdecke mehr bei gadgetChecks
Was sich für dich ändert
Regeln, Fristen, Kosten und Warnungen mit ihren konkreten Folgen für Verbraucher.
Alltag Aktuell öffnenGames, Plattformen und Deals
Aktuelle Meldungen zu Releases, Konsolen, PC Gaming, Mobile, Studios und Abos.
Gaming öffnenProdukte, Angebote und Ideen
Neues für Küche, Reinigung, Wohnen, Garten und Balkon – verständlich und praktisch eingeordnet.
Zuhause öffnen
