Google hat für seine Pixel-Smartphones die Sicherheitsupdates des Monats September 2026 ausgeliefert und darin insgesamt 110 Schwachstellen behoben. Die brisanteste davon ist eine Zero-Day-Lücke, die nach Angaben des Unternehmens bereits in gezielten Angriffen missbraucht wird.
“Es gibt Hinweise darauf, dass CVE-2026-58704 in begrenztem Umfang gezielt ausgenutzt werden könnte”, teilte Google am Mittwoch mit. Alle unterstützten Google-Geräte erhielten ein Update auf den Patch-Stand 2026-09-05. “Wir ermutigen alle Kunden, diese Updates auf ihren Geräten anzunehmen”, heißt es weiter.
Die Schwachstelle ist als hochgradig kritisch eingestuft und geht auf eine fehlerhafte Autorisierung sowie ein Versagen von Schutzmechanismen in der Modem-Teilkomponente zurück. Gelingt die Ausnutzung, können Angreifer mit Zugang zu einem benachbarten Netzwerk und einfachen Rechten auf dem Zielgerät ihre Privilegien ausweiten. Die Angriffe sind von geringer Komplexität und erfordern keinerlei Zutun der Nutzer.
Im zugehörigen Sicherheitshinweis beschreibt Google das Problem genauer: “Im Mobilfunk-Modem ist aufgrund eines Logikfehlers im Code eine Umgehung von Berechtigungen möglich. Dies kann zu einer Rechteausweitung aus benachbarter Umgebung führen, ohne dass zusätzliche Ausführungsrechte nötig sind.”
Neben dem Zero-Day listet das Pixel-Bulletin dieses Monats 109 weitere Sicherheitsprobleme auf. Darunter sind zwölf Lücken, die Codeausführung aus der Ferne ermöglichen, sowie 89 Schwachstellen zur Rechteausweitung, die als kritisch oder hoch bewertet werden.
Pixel-Geräte laufen zwar ebenfalls mit Android, erhalten ihre Sicherheitsupdates und Fehlerkorrekturen aber getrennt von den monatlichen Patches, die an die übrigen Android-Hersteller verteilt werden. Grund dafür ist die von Google unmittelbar kontrollierte, eigene Hardwareplattform samt exklusiver Funktionen.
Wer die Aktualisierungen einspielen möchte, findet sie unter Einstellungen > Sicherheit und Datenschutz > System und Updates > Sicherheitsupdate. Nach dem Antippen von “Installieren” muss das Gerät neu gestartet werden, um den Vorgang abzuschließen. Weitere Einzelheiten nennt Google im Sicherheitsbulletin für seine Smartphone-Reihe.
Es ist nicht der erste aktiv ausgenutzte Zero-Day im Android-Umfeld in jüngerer Zeit: Im Juni schloss Google eine Lücke im Android Framework (CVE-2025-48595), die ebenfalls in gezielten Angriffen missbraucht wurde. Angreifer konnten darüber auf Geräten mit Android 14 oder neuer Code ausführen und ihre Rechte ausweiten.
Einen Monat zuvor hatte das Unternehmen seine Programme für Schwachstellenprämien bei Android und Chrome umgebaut. Für Fehler, die sich mit Hilfe künstlicher Intelligenz leichter finden lassen, fallen die Auszahlungen seither geringer aus. Für bestimmte Android-Exploits stellt Google hingegen Prämien von bis zu 1,5 Millionen US-Dollar in Aussicht.