Google warnt im Android-Sicherheitsupdate September 2026 vor mehreren kritischen Schwachstellen, über die Angreifer unter bestimmten Voraussetzungen aus der Ferne Code auf einem Smartphone ausführen können. Besonders relevant ist CVE-2026-28604: Die Sicherheitslücke betrifft nach Googles Angaben Android 14, 15, 16, Android 16 QPR2 und Android 17 – und für einen erfolgreichen Angriff ist keine Aktion des Nutzers erforderlich, wie die Redaktion von Techify.de.
Das am 8. September 2026 veröffentlichte Android Security Bulletin für September 2026 stuft gleich mehrere Fehler in der System-Komponente als „Critical“ ein. Geräte mit Sicherheitspatch-Level 2026-09-05 oder neuer sollen laut Google alle im Bulletin aufgeführten relevanten Schwachstellen geschlossen haben.
Entscheidend ist deshalb nicht allein die installierte Android-Hauptversion, sondern das tatsächlich auf dem Smartphone vorhandene Sicherheits-Patchlevel.
„User interaction is not needed for exploitation.“
So beschreibt Google im Android Security Bulletin die Angriffsvoraussetzungen für die schwersten Schwachstellen im System-Bereich. Gemeint ist: Ein betroffenes Gerät kann grundsätzlich angegriffen werden, ohne dass der Besitzer zuvor bewusst eine App installieren, einen Dialog bestätigen oder auf einen präparierten Link tippen muss.
CVE-2026-28604: Warum die Android-Lücke als kritisch gilt
Eine der zentralen Schwachstellen des September-Updates trägt die Kennung CVE-2026-28604. Google ordnet sie der System-Komponente zu und klassifiziert sie als RCE – Remote Code Execution.
Das ist eine besonders gefährliche Fehlerklasse. Remote Code Execution bedeutet, dass ein Angreifer unter den passenden technischen Bedingungen Code auf einem fremden Gerät ausführen kann, ohne direkten physischen Zugriff auf das Smartphone zu benötigen.
Die öffentlich verfügbare Beschreibung im Open Source Vulnerabilities Project konkretisiert den technischen Hintergrund. Demnach handelt es sich um einen möglichen Use-after-free-Fehler, der durch eine Race Condition entstehen kann. Betroffen ist das Android-Modul platform/packages/modules/adb.
„possible use after free due to a race condition“
So beschreibt der OSV-Datensatz zu CVE-2026-28604 die Ursache. Ein Use-after-free entsteht vereinfacht gesagt dann, wenn Software auf einen bereits freigegebenen Speicherbereich zugreift. Solche Fehler können je nach Kontext zu Abstürzen führen – oder gezielt zur Ausführung fremden Codes missbraucht werden.
Google bewertet CVE-2026-28604 als „Critical“. Laut Bulletin sind folgende AOSP-Versionen betroffen beziehungsweise mit dem September-Patch aktualisiert:
| Android-Version | CVE-2026-28604 im September-Bulletin |
|---|---|
| Android 14 | betroffen |
| Android 15 | betroffen |
| Android 16 | betroffen |
| Android 16 QPR2 | betroffen |
| Android 17 | betroffen |
Damit beschränkt sich die Schwachstelle keineswegs auf ältere Android-Smartphones. Auch Geräte mit der aktuellen Android-Generation benötigen die entsprechenden Sicherheitskorrekturen.
Wer Android 17 verwendet, sollte deshalb nicht davon ausgehen, allein durch die neueste Hauptversion automatisch vollständig geschützt zu sein.
Android 17 enthält zwar zusätzliche Sicherheitsfunktionen – etwa einen verschärften Verlustmodus. Wie der neue Diebstahlschutz von Android 17 funktioniert, haben wir bereits ausführlich erklärt.
September-Patch schließt mehrere kritische RCE-Lücken
CVE-2026-28604 ist nicht die einzige kritische Schwachstelle des Monats. Im System-Bereich führt Google eine ganze Gruppe von Fehlern auf, die als Remote Code Execution eingestuft wurden.
Dazu gehören unter anderem:
- CVE-2026-28604;
- CVE-2026-28618;
- CVE-2026-28639;
- CVE-2026-28662;
- CVE-2026-49882;
- CVE-2026-49884;
- CVE-2026-49919;
- CVE-2026-49921.
Alle genannten Schwachstellen werden im September-Bulletin als „Critical“ geführt. Welche Android-Versionen betroffen sind, unterscheidet sich jedoch von CVE zu CVE. Beispielsweise betrifft CVE-2026-28618 laut Google Android 16, Android 16 QPR2 und Android 17, während CVE-2026-28639 wiederum Android 14 bis 17 umfasst.
Hinzu kommen mehrere kritische Fehler zur Rechteausweitung. Im Framework führt Google beispielsweise CVE-2026-28666 und CVE-2026-55273 als kritische Elevation-of-Privilege-Schwachstellen auf. Auch für diese Kategorie kann nach Googles Bewertung keine Nutzerinteraktion erforderlich sein.
Damit ist das Android September Update 2026 kein gewöhnliches Wartungsupdate mit kleineren Fehlerkorrekturen. Es schließt mehrere Schwachstellen aus unterschiedlichen Teilen der Plattform.
Auch der Android-Kernel ist betroffen
Mit dem Patchlevel 2026-09-05 werden weitere Schwachstellen außerhalb der unmittelbaren Android-Systemkomponenten adressiert. Google nennt im Kernel unter anderem kritische Probleme in NFC und der Protected Kernel-Based Virtual Machine.
Besonders auffällig ist CVE-2026-52993 in den Kernel-Komponenten. Google klassifiziert den Fehler als kritische Remote-Code-Execution-Schwachstelle im Bereich Transparent Inter-Process Communication. Auch hier ist laut Bulletin keine Nutzerinteraktion notwendig.
Die Unterscheidung zwischen den Patchlevels 2026-09-01 und 2026-09-05 ist deshalb relevant.
| Patchlevel | Bedeutung |
|---|---|
| 2026-09-01 | schließt die dem Patchlevel 1. September zugeordneten Android-Lücken |
| 2026-09-05 | enthält zusätzlich die für den zweiten Patchblock vorgesehenen Komponenten- und Kernel-Fixes |
Google empfiehlt seinen Partnern ausdrücklich, alle relevanten Fehler des Bulletins zu beheben und den neuesten Patchlevel zu verwenden. Ein Gerät mit „Android-Sicherheitsupdate: 1. September 2026“ hat daher nicht zwingend denselben Patchstand wie ein Modell mit „5. September 2026“.
Muss ein Angriff bestätigt oder eine App installiert werden?
Gerade dieser Punkt macht die aktuelle Warnung relevant. Bei zahlreichen Android-Angriffen muss ein Opfer zunächst eine manipulierte Anwendung installieren, einer App zusätzliche Rechte geben oder auf einen schädlichen Link reagieren.
Bei den schwersten im September-Bulletin beschriebenen Systemproblemen setzt Google eine solche aktive Interaktion ausdrücklich nicht voraus.
Das bedeutet allerdings nicht, dass jedes ungepatchte Smartphone automatisch kompromittiert wird. Für einen tatsächlichen Angriff müssen weiterhin die technischen Voraussetzungen der jeweiligen Schwachstelle erfüllt sein und vorhandene Android-Schutzmechanismen gegebenenfalls überwunden werden.
Google weist selbst darauf hin, dass neuere Android-Versionen zusätzliche Plattformschutzmechanismen enthalten, die die praktische Ausnutzung vieler Schwachstellen erschweren. Zusätzlich überwacht Google Play Protect Apps auf potenziell schädliches Verhalten.
„We encourage all users to update to the latest version of Android where possible.“
Diese Empfehlung ist beim September-Patch besonders relevant. Google verweist zudem darauf, dass Play Protect auf Geräten mit Google Mobile Services standardmäßig aktiviert ist.
Play Protect ersetzt ein Sicherheitsupdate allerdings nicht. Es kann gefährliche Anwendungen erkennen oder vor ihnen warnen, beseitigt aber keine Schwachstelle im Android-System selbst.
Welche Smartphones bekommen das Sicherheitsupdate?
Google veröffentlicht die Fehlerkorrekturen für Android und stellt sie seinen Partnern zur Verfügung. Das bedeutet jedoch nicht, dass jedes Smartphone am selben Tag ein Update erhält.
Die tatsächliche Verteilung hängt vom jeweiligen Hersteller, Gerätemodell, Supportzeitraum und teilweise vom Mobilfunkanbieter ab. Google erklärt im Bereich Android Enterprise ausdrücklich, dass ein von Google veröffentlichter Patch auf einem Gerät noch fehlen kann, solange der OEM oder Mobilfunkanbieter ihn nicht ausgeliefert hat.
Bei Pixel-Smartphones werden aktuelle Updates typischerweise direkt von Google bereitgestellt. Bei Samsung, Xiaomi, Motorola, Nothing, Honor und anderen Herstellern können sich Zeitplan und enthaltenes Patchlevel unterscheiden.
Das gilt auch nach einem bereits installierten größeren Betriebssystemupdate. Bei Problemen nach Aktualisierungen lohnt sich deshalb eine getrennte Prüfung von Systemversion und Einstellungen.
Wer beispielsweise nach einem Update keine Push-Nachrichten mehr erhält, findet dazu unsere Anleitung zu fehlenden Pixel-Benachrichtigungen nach einem Android-Update.
So prüfen Sie den Android-Sicherheitspatch
Ob das Smartphone geschützt ist, lässt sich direkt in Android kontrollieren. Google nennt dafür den Bereich „Über das Telefon“ beziehungsweise „Über das Tablet“.
Je nach Hersteller können die Menünamen geringfügig abweichen. Grundsätzlich gilt:
- Einstellungen öffnen.
- „Über das Telefon“ oder „Über das Tablet“ auswählen.
- „Android-Version“ öffnen.
- Eintrag „Android-Sicherheitsupdate“ kontrollieren.
- Zusätzlich das „Google Play-Systemupdate“ prüfen.
Für die vollständige Abdeckung des September-Bulletins sollte das relevante Gerät laut Google einen Android Sicherheitspatch September 2026 mit Patchlevel 2026-09-05 oder neuer erhalten haben.
Wer das Update noch nicht angeboten bekommt, kann zusätzlich unter „System“ und „Softwareupdate“ manuell nach einer neuen Version suchen.
„You can also check for updates.“
Google weist in seiner offiziellen Android-Hilfe ausdrücklich auf die manuelle Update-Prüfung hin. Das Smartphone muss also nicht ausschließlich auf eine automatische Benachrichtigung warten.
Auch ein separates Google-Play-Systemupdate kann relevant sein. Im September-Bulletin nennt Google unter anderem ART, Media Framework, Media Codecs, MediaProvider, Telephonycore, WiFi und adbd als Mainline-Komponenten, für die Fehlerkorrekturen über Google Play System Updates eingebunden werden können.
Was Nutzer jetzt konkret tun sollten
Wer ein Android-Smartphone verwendet, sollte den Patchstand nicht allein anhand der Android-Version beurteilen. Ein Gerät mit Android 17 kann einen älteren Sicherheitspatch besitzen als ein anderes Smartphone mit derselben Betriebssystemversion.
Sinnvoll sind deshalb vier Kontrollen:
- verfügbares Android-Systemupdate installieren;
- Android-Sicherheitspatch prüfen;
- Google Play-Systemupdate kontrollieren;
- Google Play Protect aktiviert lassen.
Google beschreibt die entsprechenden Optionen unter „Sicherheit & Datenschutz“ sowie „System & Updates“. Dort können sowohl klassische Sicherheitsupdates als auch Google-Play-Systemupdates separat angezeigt werden.
Wer Anwendungen außerhalb des Play Stores installiert, trägt ein zusätzliches Risiko. Google empfiehlt in diesem Fall ausdrücklich die verbesserte Erkennung schädlicher Apps in Play Protect. Auch unnötige oder nicht vertrauenswürdige Anwendungen sollten entfernt werden.
Das Thema ist auch bei Smartphones von Kindern relevant: Bei einem neuen Gerät sollten Sicherheitsupdates, App-Berechtigungen, Kaufbeschränkungen und Gerätesperre bereits vor der Übergabe kontrolliert werden. Eine entsprechende Checkliste bietet unser Ratgeber zum sicheren Einrichten des ersten Smartphones für Kinder.
FAQ zum Android-Sicherheitsupdate September 2026
Was ist CVE-2026-28604?
CVE-2026-28604 ist eine von Google als kritisch eingestufte Remote-Code-Execution-Schwachstelle in Android. Ursache ist laut öffentlichem OSV-Eintrag ein möglicher Use-after-free-Fehler infolge einer Race Condition. Nutzerinteraktion ist für eine Ausnutzung laut Google nicht erforderlich.
Welche Android-Versionen sind von CVE-2026-28604 betroffen?
Google führt Android 14, Android 15, Android 16, Android 16 QPR2 und Android 17 als aktualisierte AOSP-Versionen auf. Damit betrifft die Schwachstelle mehrere aktuelle Android-Generationen.
Welcher Patchlevel schützt vor den September-Lücken?
Patchlevel 2026-09-01 schließt die diesem Patchblock zugeordneten Fehler. Geräte mit 2026-09-05 oder neuer sollen alle für das jeweilige Gerät relevanten Schwachstellen des September-Bulletins enthalten.
Kann die kritische Android-Lücke ohne Klick ausgenutzt werden?
Für CVE-2026-28604 und mehrere weitere kritische RCE-Schwachstellen schreibt Google ausdrücklich, dass keine Nutzerinteraktion erforderlich ist. Das bedeutet, dass ein Angriff nicht zwingend einen Klick oder die manuelle Installation einer App voraussetzt.
Wo finde ich den Sicherheitspatch auf meinem Smartphone?
Unter Android lässt sich das Datum üblicherweise unter „Einstellungen“ → „Über das Telefon“ → „Android-Version“ → „Android-Sicherheitsupdate“ prüfen. Der genaue Menüpfad kann sich je nach Hersteller unterscheiden.
Reicht Google Play Protect als Schutz aus?
Nein. Play Protect reduziert insbesondere Risiken durch schädliche Apps, ersetzt aber keine System-Patches gegen Schwachstellen im Android-Framework, Kernel oder anderen Plattformkomponenten. Beide Schutzebenen sollten aktuell beziehungsweise aktiviert sein.
Sie können dies und weitere nützliche Informationen auf unserer Website nachlesen. Wir empfehlen Ihnen außerdem die Lektüre folgender Artikel: Internet fällt aus: Wie FRITZ! Failsafe automatisch auf 5G umschaltet und was Nutzer jetzt brauchen
