Google hat die Android-Sicherheitsupdates für September 2026 veröffentlicht und schließt darin 180 Schwachstellen. Damit endet eine ungewöhnliche Pause: In den Bulletins für Juli und August hatte der Konzern keine Sicherheitslücken gemeldet.
Die Aktualisierungen sind erneut in zwei Stufen unterteilt. Das Patch-Level 2026-09-01 behebt 95 Fehler in Android Runtime, Framework, System, Setup Wizard sowie in mehreren Project-Mainline-Komponenten, die über Google-Play-Systemupdates verteilt werden.
“Das schwerwiegendste dieser Probleme ist eine kritische Sicherheitslücke in der System-Komponente, die zu Codeausführung aus der Ferne führen kann, ohne dass zusätzliche Ausführungsrechte erforderlich sind. Eine Interaktion des Nutzers ist zur Ausnutzung nicht nötig”, heißt es in Googles Advisory.
Der Schwerpunkt liegt eindeutig auf der System-Komponente: Dort korrigiert Google 56 Sicherheitsmängel, davon 23 mit kritischem Schweregrad. Sie können zu Codeausführung aus der Ferne (RCE), Rechteausweitung (EoP) und Diensteverweigerung (DoS) führen. Im Framework kommen 37 Schwachstellen hinzu, darunter drei kritische, ergänzt um einen Fehler in der Android Runtime.
Die zweite Stufe, das Patch-Level 2026-09-05, umfasst 85 Korrekturen im Android-Kernel und dessen Komponenten sowie in TV-Bestandteilen und in Zulieferkomponenten von Arm, Imagination Technologies, MediaTek, Tsingteng Micro, Unisoc und Qualcomm. Geräte, die auf dem Patch-Level 2026-09-05 oder neuer laufen, enthalten sämtliche dieser Korrekturen und zusätzlich die der vorangegangenen Android-Patches.
Adam Boynton, Senior Enterprise Strategy Manager bei Jamf, ordnet das Bulletin als “volumenstark” ein und verweist auf die Mischung aus kritischen und hoch eingestuften Patches. Bemerkenswert sei, dass viele der kritischen Korrekturen die System-Komponente betreffen, die für einen Großteil der Kernfunktionen eines Telefons zuständig ist, etwa den Betrieb von Apps.
Am meisten Sorge bereitet Boynton CVE-2026-28662, eine Wi-Fi-bezogene Speicherfehler-Schwachstelle. Bleibe sie ungepatcht, könne sie Angreifern Codeausführung aus der Ferne ermöglichen — ohne zusätzliche Rechte und ohne Zutun des Nutzers — und damit potenziell auch eine Rechteausweitung. Organisationen sollten die Updates deshalb so schnell wie möglich über ihren gesamten Gerätebestand ausrollen, so Boynton.
Eigene Sicherheitspatches für Wear OS, Android XR und Android Automotive OS gibt es in diesem Monat nicht. Die Updates für diese Plattformen beheben jedoch alle Probleme, die im Android-Sicherheitsbulletin für September 2026 beschrieben sind.