Google behebt aktiv ausgenutzte Zero-Day-Schwachstelle in Pixel

Google hat sein Sicherheitsupdate für September 2026 für Pixel-Geräte veröffentlicht und damit 110 Schwachstellen behoben. Die Patches umfassen eine schwerwiegende Android-Zero-Day-Schwachstelle, die Angreifer möglicherweise bereits bei begrenzten, gezielten Angriffen ausnutzen.

Das Unternehmen fordert alle Besitzer unterstützter Pixel-Geräte auf, das Update zu installieren, sobald es verfügbar ist.

Pixel-Zero-Day betrifft Mobilfunkmodem

Die aktiv ausgenutzte Schwachstelle wird als CVE-2026-58704 verfolgt. Sie betrifft die Mobilfunkmodem-Komponente in Google-Pixel-Geräten.

Google führte die Schwachstelle auf einen Logikfehler zurück, der eine Umgehung von Berechtigungen ermöglicht. Zu den zugrunde liegenden Schwächen gehören eine fehlerhafte Autorisierung und das Versagen eines Schutzmechanismus.

Eine erfolgreiche Ausnutzung kann es einem Angreifer ermöglichen, seine Berechtigungen auf einem anfälligen Smartphone zu erhöhen.

Der Angreifer benötigt jedoch Zugang zu einem benachbarten Netzwerk und grundlegende Berechtigungen auf dem angegriffenen Gerät. Der Angriff weist eine geringe Komplexität auf und erfordert keine Interaktion des Benutzers.

Google beschrieb die Schwachstelle als ein Problem zur entfernten oder lokalen Rechteausweitung. Angreifer benötigen keine zusätzlichen Ausführungsberechtigungen, um die Schwachstelle auszunutzen.

Google entdeckt begrenzte gezielte Ausnutzung

Google erklärte, Hinweise darauf gefunden zu haben, dass Angreifer CVE-2026-58704 möglicherweise ausnutzen.

Das Unternehmen beschrieb die Aktivitäten als begrenzt und gezielt. Diese Formulierung deutet häufig darauf hin, dass Angreifer eine Schwachstelle gegen eine kleine Anzahl ausgewählter Personen einsetzen, anstatt groß angelegte Angriffe durchzuführen.

Google identifizierte die Angreifer jedoch nicht und gab nicht bekannt, gegen wen sich die Angriffe richteten. Das Unternehmen machte auch keine Angaben zur umfassenderen Angriffskette.

Sicherheitslücken, die bei gezielten Angriffen auf Mobilgeräte eingesetzt werden, funktionieren häufig zusammen mit anderen Schwachstellen. Eine Schwachstelle kann den ersten Zugriff ermöglichen, während eine andere die Berechtigungen des Angreifers erhöht oder das Verlassen einer geschützten Umgebung ermöglicht.

Google hat nicht bestätigt, ob CVE-2026-58704 Teil einer solchen Angriffskette war.

September-Update behebt 110 Schwachstellen

Das Pixel-Sicherheitsbulletin für September behebt neben der aktiv ausgenutzten Zero-Day-Schwachstelle 109 weitere Sicherheitsprobleme.

Das Update enthält Korrekturen für 12 Schwachstellen zur Remote-Codeausführung. Diese Sicherheitslücken können es Angreifern potenziell ermöglichen, schädlichen Code auf einem betroffenen Gerät auszuführen.

Google hat außerdem 89 Schwachstellen zur Rechteausweitung behoben, die als kritisch oder schwerwiegend eingestuft wurden. Solche Sicherheitslücken können es bösartigen Anwendungen oder Angreifern mit eingeschränktem Zugriff ermöglichen, mehr Kontrolle über ein Smartphone zu erlangen.

Die verbleibenden Korrekturen beheben weitere Schwachstellen in den Hardware- und Softwarekomponenten von Pixel.

Alle unterstützten Google-Geräte erhalten den Sicherheitspatch-Level vom 5. September 2026.

Pixel-Geräte erhalten separate Sicherheitsupdates

Pixel-Smartphones verwenden Android, erhalten Sicherheitsupdates jedoch getrennt von Geräten anderer Hersteller.

Google kontrolliert die Hardwareplattform und entwickelt exklusive Funktionen für seine Pixel-Reihe. Daher verteilt das Unternehmen zusätzliche Korrekturen für Komponenten und Funktionen, die speziell für diese Geräte entwickelt wurden.

Andere Android-Hersteller veröffentlichen ihre eigenen Updates auf Grundlage ihrer Hardware, Software und Support-Zeitpläne.

Daher ist ein Patch, der für Pixel-Geräte verfügbar ist, möglicherweise nicht auf einem Smartphone eines anderen Herstellers verfügbar. Gleichzeitig können einige Sicherheitsprobleme ausschließlich die Hardware von Google betreffen.

So installieren Sie das Pixel-Sicherheitsupdate

Pixel-Nutzer sollten das Sicherheitsupdate für September unverzüglich installieren.

Um nach dem Update zu suchen, können Nutzer Einstellungen öffnen, Sicherheit & Datenschutz auswählen und anschließend System & Updates öffnen. Dort sollten sie Sicherheitsupdate auswählen und auf Installieren tippen, sobald der Patch angezeigt wird.

Das Gerät muss neu gestartet werden, um die Installation abzuschließen.

Nutzer sollten nach dem Neustart außerdem den installierten Sicherheitspatch-Level überprüfen. Das aktualisierte Gerät sollte den Patch-Level vom 5. September 2026 anzeigen.

Das Update kann je nach Gerätemodell, Mobilfunkanbieter und Region zu unterschiedlichen Zeitpunkten verfügbar werden. Nutzer sollten später erneut nach dem Update suchen, falls es nicht sofort verfügbar ist.

Google hat im Juni einen weiteren Zero-Day behoben

Das September-Update folgt auf eine weitere aktiv ausgenutzte Android-Schwachstelle, die Google im Juni behoben hat.

Diese als CVE-2025-48595 verfolgte Schwachstelle betraf das Android Framework. Angreifer konnten sie nutzen, um Code auszuführen und ihre Berechtigungen auf Geräten mit Android 14 oder neuer zu erhöhen.

Google beschrieb auch diese Aktivitäten als gezielte Ausnutzung.

Die beiden Vorfälle zeigen, warum Nutzer monatliche Android- und Pixel-Updates zeitnah installieren sollten. Gezielte Schwachstellen können zunächst relativ wenige Menschen betreffen, doch technische Details können später umfangreichere Angriffe ermöglichen.

Pixel-Besitzer sollten sofort aktualisieren

Google hat keine Details zu den Angriffen veröffentlicht, bei denen CVE-2026-58704 zum Einsatz kam. Dennoch machen bestätigte Hinweise auf eine Ausnutzung das Update dringend erforderlich.

Nutzer sollten außerdem Anwendungsupdates installieren und Apps entfernen, die sie nicht mehr benötigen. Software ausschließlich aus vertrauenswürdigen Quellen herunterzuladen, kann das Risiko zusätzlich reduzieren, dass bösartige Anwendungen den grundlegenden Zugriff erhalten, der für eine Exploit-Kette erforderlich ist.

Organisationen, die Pixel-Geräte verwalten, sollten überprüfen, ob Mitarbeiter den neuen Patch installiert haben. Tools zur Verwaltung mobiler Geräte können Sicherheitsteams dabei helfen, Smartphones mit veralteter Software zu identifizieren.

Das September-Update behebt neben der Pixel-Zero-Day-Schwachstelle zahlreiche weitere schwerwiegende Sicherheitslücken. Die Installation schützt Geräte daher vor einem breiteren Spektrum potenzieller Angriffe.