Google hat am 2. November den Android-Sicherheitsbulletins für November 2026 veröffentlicht — und es ist einer der größeren der jüngeren Geschichte. Nach Zählung von eSecurity Planet umfasst er 216 Schwachstellen, davon rund zwei Dutzend als kritisch eingestuft; die Verteilung auf zwei Patch-Level ist dabei selbst Teil der Nachricht.
Der erste Block, Patch-Level 2026-11-01, behebt 119 Probleme in Framework, System und Runtime. 65 davon entfallen auf das Framework, 53 auf den System-Anteil, eines auf Android Runtime. Der zweite Block, Patch-Level 2026-11-05, deckt weitere 97 Probleme im Linux-Kernel sowie in Komponenten von Arm, Imagination Technologies, MediaTek, Unisoc und Qualcomm ab. Geräte mit Patch-Level 2026-11-05 oder neuer sind laut Google für alle Punkte des Bulletins abgedeckt; 2026-11-01 schließt nur den ersten Block und alle früheren Bulletins ein.
Was wirklich zählt: CVE-2026-58868
Die schwerwiegendste Lücke sitzt im Framework und trägt die Kennung CVE-2026-58868 (Android-Bug A-486464711). Google beschreibt sie als kritische Schwachstelle, die zu Remote-Code-Execution führen kann, ohne dass zusätzliche Ausführungsrechte nötig sind — und ausdrücklich: „User interaction is not needed for exploitation." Betroffen sind Android 14, 15, 16, 16-qpr2 und 17.
Eine technische Analyse von Aviatrix verortet die Ursache in einem Heap-Buffer-Overflow in der Funktion `onOutputReceived` in `FrameDecoder.cpp` — also in der Verarbeitung eingehender Frames, nicht in einer App, die jemand öffnen müsste. Ein öffentlicher Exploit ist laut dieser Analyse nicht bekannt; die Einstufung als kritisch beruht auf dem möglichen Effekt, nicht auf beobachteter Ausnutzung.
Zwei weitere kritische RCE-Lücken betreffen die System-Komponente: CVE-2026-58876 und CVE-2026-58936. Hinzu kommen kritische Privilegieneskalationen in der System-Komponente (CVE-2026-55275, CVE-2026-55283, CVE-2026-58984) sowie im Kernel beim Schutz von virtuellen Maschinen — pKVM, CVE-2026-59044 und CVE-2026-59045 —, im Bluetooth-Stack (CVE-2026-53256, CVE-2026-89774) und in HID-Komponenten (CVE-2026-80604). Auch bei den Chipsätzen gibt es kritische Einstufungen: sieben MediaTek-Modem-Lücken (unter anderem CVE-2026-20499, CVE-2026-20545 bis CVE-2026-20549) und die Closed-Source-Komponente CVE-2026-25285 bei Qualcomm.
Die „SMS of Death" ist wieder im Bulletin
Bemerkenswert ist CVE-2026-58882, eine kritische Denial-of-Service-Lücke, die als „SMS of Death" bekannt wurde. Sie steckt in der Verarbeitung von WAP-Push-SMS (`decodeWapPdu`) und kann den Telefonie-Prozess zum Absturz bringen — laut Analysen allein durch die Telefonnummer des Ziels, ohne jede Interaktion, mit Wirkung auf laufende Gespräche einschließlich Notrufen und mit Beständigkeit über Neustarts hinweg. Der unabhängige Forscher Mark Blaszczyk hatte die Lücke am 29. Oktober öffentlich gemacht, nachdem er sie im Mai an Google gemeldet hatte; ein Proof of Concept ist im Umlauf. Google hatte im Oktober eine Korrektur signalisiert, die Lücke erscheint aber weiterhin im November-Bulletin — was nicht zwingend heißt, dass bereits versorgte Geräte exponiert blieben, aber bedeutet, dass Nutzer ihren Patch-Stand prüfen sollten statt sich auf ein Routine-Update zu verlassen.
Aviatrix weist zudem darauf hin, dass Geräte mit Android 12 und 13 denselben verwundbaren Code enthalten, aber nicht mehr im unterstützten Fenster liegen — für diese Geräte gibt es keinen vom Hersteller bereitgestellten Patch. Das ist eine Einschätzung eines Drittanbieters, kein Teil von Googles Bulletin, aber sie deckt sich mit dem strukturellen Problem, das der Rest des Monats zeigt.
Samsung legt nach, der Rest der Branche braucht Zeit
Samsung hat eigenen Angaben zufolge ein Paket mit 206 Korrekturen veröffentlicht: 178 Android-Fixes von Google, vier aus dem Halbleiterbereich und 24 eigene Lücken, darunter Bootloader, Kamera-Filter-Plugins, Kontakte, Telefon, Nachrichten und SIM-Lock. Ein verbindlicher Rollout-Zeitplan fehlt; die Verfügbarkeit hängt von Modell, Netzbetreiber und Region ab.
Genau dort liegt das eigentliche Risiko. Patch-Verfügbarkeit ist nicht Patch-Installation. Zwischen Googles Veröffentlichung und dem Eintreffen eines Updates auf einem Gerät liegen bei vielen Herstellern Wochen bis Monate, und bei kritischen Lücken ohne Nutzerinteraktion ist dieses Fenster die eigentliche Angriffsfläche. Für Unternehmen mit Android-Flotten heißt das: Patch-Level prüfen statt Update-Datum, Geräte mit Zugriff auf E-Mail und Unternehmensanwendungen priorisieren und in der MDM-Richtlinie einen Mindest-Patch-Stand erzwingen, wo das technisch möglich ist.
Auf dem Gerät selbst ist der Wert eindeutig: `ro.build.version.security_patch` sollte 2026-11-01 oder neuer sein, besser 2026-11-05. Bei Pixel-Geräten steht das unter Einstellungen → System → Systemupdate, bei Samsung unter Einstellungen → Softwareupdate → Herunterladen und installieren. Wer den Wert nicht findet oder ein Gerät ohne Update-Unterstützung betreibt, sollte den Umgang mit diesem Gerät überdenken, bevor die nächste kritische Lücke ohne Nutzerinteraktion auftaucht.
