Die nun geschlossene Schwachstelle CVE-2026-0073 erlaubt es einem Angreifer, aus der Ferne Code auszuführen. Sie sitzt in der System-Komponente von Android und ermöglicht die Codeausführung mit den Rechten des Shell-Benutzers – ohne dass zusätzliche Ausführungsrechte nötig wären. Besonders kritisch: Für eine erfolgreiche Ausnutzung ist keinerlei Mitwirkung der Nutzer erforderlich.
Im Zentrum steht laut der Sicherheitsmeldung der Dienst „adbd", der Daemon der Android Debug Bridge. Dieser Hintergrundprozess verwaltet auf Android-Geräten die Kommunikation mit einem angeschlossenen Computer und stellt Funktionen für Debugging und Shell-Zugriff bereit.
Nicht alle Plattformen erhalten in diesem Monat Aktualisierungen: Google teilte mit, dass für Wear OS, Pixel Watch, Android XR und Android Automotive keine Patches veröffentlicht wurden.
Anzeichen für eine Ausnutzung von CVE-2026-0073 in echten Angriffen gibt es nach derzeitigem Stand nicht. In diesem Jahr wurde überhaupt nur eine einzige gepatchte Android-Schwachstelle als aktiv ausgenutzt eingestuft. Im Vorjahr sah die Lage anders aus: Damals wurden mehrere Lücken in Angriffen missbraucht, darunter CVE-2024-43093, CVE-2024-50302, CVE-2025-27038, CVE-2025-48543 und CVE-2025-38352.
Parallel dazu hat Google die maximalen Prämien seines Bug-Bounty-Programms für Android-Geräteschwachstellen deutlich angehoben. Für einen Zero-Click-Exploit gegen den Pixel-Sicherheitschip Titan M, der zudem Persistenz erreicht, zahlt der Konzern künftig bis zu 1,5 Millionen US-Dollar.