Androids November-Update schließt eine Lücke, für die man nicht einmal tippen muss

Google hat sein Android-Sicherheitsbulletin für November am Montag, dem 2. November, veröffentlicht, und der erste Eintrag ist einer von denen, die zählen: CVE-2026-58868, ein Heap-Überlauf in einem Teil des Frameworks, der Videobilder dekodiert. Google stuft ihn als kritisch ein, weil ein Angreifer damit aus der Ferne Code auf einem Handy ausführen könnte, ohne zusätzliche Berechtigungen und ohne dass Sie etwas tun. Betroffen sind Android 14, 15, 16 und 17. Wie ein Angreifer an den fehlerhaften Code herankäme, hat Google nicht gesagt, und bis Mittwoch gab es keine Berichte über Angriffe.

Es ist einer von 216 Fixes, 23 davon kritisch, darunter zwei im Bluetooth und eine ganze Reihe im Chip-Code von MediaTek und Qualcomm. Das Bulletin führt auch CVE-2026-58882 offiziell auf, den "SMS of Death"-Fehler, über den wir am Montag berichtet haben. Der Fix dafür war schon im Oktober still verteilt worden, jetzt ist er auch offiziell dokumentiert.

Warum die Eile, wenn noch nichts ausgenutzt wird? Weil Angreifer sich von einem veröffentlichten Fix aus rückwärts zur Lücke vorarbeiten. Diese Woche hat die Sicherheitsfirma Sekoia eine Kampagne beschrieben, die sie APT29 zuschreibt, der russischen Gruppe, die auch als Midnight Blizzard bekannt ist. Sie platzierte Exploit-Code auf gehackten und auf nachgemachten Websites. Handys, die diese Seiten aufriefen, wurden analysiert und automatisch angegriffen, ganz ohne Tippen. Alle verwendeten Lücken waren bereits geschlossen. Opfer waren iPhones, die noch auf iOS 16.7 oder 18.5 liefen, und Android-Handys mit Chrome in den Versionen 139 bis 145. Die Angreifer hatten es auf WhatsApp- und Telegram-Daten, gespeicherte Passwörter, Fotos und Standortdaten abgesehen.

Öffnen Sie also Einstellungen, dann Über das Telefon, und suchen Sie das Datum des Android-Sicherheitsupdates. Sie brauchen mindestens 2026-11-01, mit 2026-11-05 ist das ganze Bulletin abgedeckt. Wann es kommt, entscheidet Ihr Hersteller. Ist es noch nicht da, schauen Sie nächste Woche wieder nach und aktualisieren Sie bei der Gelegenheit Chrome über den Play Store. Auf dem PC übernehmen die Update-Prüfung von Tendvane und die App-Updates über winget dieselbe Aufgabe: Sie zeigen Ihnen die Fixes, die es schon gibt, die aber noch nicht installiert sind.