SecBoard
Zurück zur Übersicht
Mittel26 / 100Konfidenz: Mittel
CVSS8.8EPSS0.2 %Über Netz erreichbarOhne Zutun des Nutzers

Installieren Sie umgehend das Android-Sicherheitsupdate vom Oktober 2026 (Patch-Level 2026-10-01 oder neuer).

▸Herleitung der Bewertung(2)

Wie der Wert zustande kommt

  • Hoechster CVSS-Basiswert 8.8+16
  • Ohne Anmeldung ueber das Netz ausnutzbar (CVE-2026-58865, CVSS-Vektor AV:N/PR:N)+10

Woraus sich die Konfidenz ergibt

  • Nur ein Herausgeber — keine Gegenlesung
  • Darunter eine behoerdliche Primaerquelle
  • Strukturierte CVE-Daten aus der NVD vorhanden

Die Konfidenz misst die Belegqualität, nicht die Schwere.

Einschränkungen

  • Schmale Datenlage: der Wert beruht auf wenigen Einzelsignalen.
  • 3 im Text genannte CVE(s) liegen uns nicht vor und gehen nicht in die Bewertung ein: CVE-2026-45513, CVE-2026-45516, CVE-2026-55279

Bewertung v1.2, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.Methodik

[NEU] [hoch] Android Patchday Oktober 2026: Mehrere Schwachstellen

CERT-Bund·
Originalartikel lesen bei CERT-Bund

Google Android weist mehrere kritische Schwachstellen auf, die Angreifern die Erhöhung von Privilegien, Denial-of-Service-Angriffe, Informationslecks und die Ausführung beliebigen Codes ermöglichen. Betroffen sind alle Android-Versionen vor dem Security Patch Level 2026-10-01. Nutzer sollten umgehend das Oktober-Sicherheitsupdate installieren, um ihre Geräte zu schützen.

SecBoard-Einordnung

Diese Schwachstellen ermöglichen Angreifern die vollständige Kontrolle über betroffene Geräte, was zu Datenlecks, Systemausfällen oder der Installation von Malware führen kann.

Realistisch schlimmster Fall: Ein Angreifer könnte beliebigen Code auf einem betroffenen Android-Gerät ausführen, die Kontrolle über das Gerät übernehmen und sensible Daten exfiltrieren oder das Gerät für weitere Angriffe nutzen.

Key Facts· 12 / 25

Nach Dringlichkeit sortiert: KEV-Eintrag, dann CVSS, dann EPSS. Vollstaendige Liste im Meldungstext.

CVE-2026-58835
CVSS
8.8 · HIGH
EPSS
0.2%
Über das Netz
ja
Anmeldung nötig
ja
Nutzerinteraktion nötig
nein
Angriffskomplexität
niedrig
Beeinträchtigt
Vertraulichkeit, Integrität, Verfügbarkeit
Patch
unbekannt
Zuweisende CNA
security@android.com
CVE-2026-55280
CVSS
8.8 · HIGH
EPSS
0.2%
Über das Netz
ja
Anmeldung nötig
ja
Nutzerinteraktion nötig
nein
Angriffskomplexität
niedrig
Beeinträchtigt
Vertraulichkeit, Integrität, Verfügbarkeit
Patch
unbekannt
Zuweisende CNA
security@android.com
CVE-2026-45524
CVSS
8.8 · HIGH
EPSS
0.1%
Über das Netz
nein
Anmeldung nötig
ja
Nutzerinteraktion nötig
nein
Angriffskomplexität
niedrig
Beeinträchtigt
Vertraulichkeit, Integrität, Verfügbarkeit
Patch
unbekannt
Zuweisende CNA
security@android.com
CVE-2026-49880
CVSS
7.8 · HIGH
EPSS
0.1%
Über das Netz
nein
Anmeldung nötig
ja
Nutzerinteraktion nötig
nein
Angriffskomplexität
niedrig
Beeinträchtigt
Vertraulichkeit, Integrität, Verfügbarkeit
Patch
unbekannt
Zuweisende CNA
security@android.com
CVE-2026-49885
CVSS
7.8 · HIGH
EPSS
0.1%
Über das Netz
nein
Anmeldung nötig
ja
Nutzerinteraktion nötig
nein
Angriffskomplexität
niedrig
Beeinträchtigt
Vertraulichkeit, Integrität, Verfügbarkeit
Patch
unbekannt
Zuweisende CNA
security@android.com
CVE-2026-49933
CVSS
7.8 · HIGH
EPSS
0.1%
Über das Netz
nein
Anmeldung nötig
ja
Nutzerinteraktion nötig
nein
Angriffskomplexität
niedrig
Beeinträchtigt
Vertraulichkeit, Integrität, Verfügbarkeit
Patch
unbekannt
Zuweisende CNA
security@android.com
CVE-2026-49937
CVSS
7.8 · HIGH
EPSS
0.1%
Über das Netz
nein
Anmeldung nötig
ja
Nutzerinteraktion nötig
nein
Angriffskomplexität
niedrig
Beeinträchtigt
Vertraulichkeit, Integrität, Verfügbarkeit
Patch
unbekannt
Zuweisende CNA
security@android.com
CVE-2026-55266
CVSS
7.8 · HIGH
EPSS
0.1%
Über das Netz
nein
Anmeldung nötig
ja
Nutzerinteraktion nötig
nein
Angriffskomplexität
niedrig
Beeinträchtigt
Vertraulichkeit, Integrität, Verfügbarkeit
Patch
unbekannt
Zuweisende CNA
security@android.com
CVE-2026-55269
CVSS
7.8 · HIGH
EPSS
0.1%
Über das Netz
nein
Anmeldung nötig
ja
Nutzerinteraktion nötig
nein
Angriffskomplexität
niedrig
Beeinträchtigt
Vertraulichkeit, Integrität, Verfügbarkeit
Patch
unbekannt
Zuweisende CNA
security@android.com
CVE-2026-55286
CVSS
7.8 · HIGH
EPSS
0.1%
Über das Netz
nein
Anmeldung nötig
ja
Nutzerinteraktion nötig
nein
Angriffskomplexität
niedrig
Beeinträchtigt
Vertraulichkeit, Integrität, Verfügbarkeit
Patch
unbekannt
Zuweisende CNA
security@android.com
CVE-2026-58815
CVSS
7.8 · HIGH
EPSS
0.1%
Über das Netz
nein
Anmeldung nötig
ja
Nutzerinteraktion nötig
nein
Angriffskomplexität
niedrig
Beeinträchtigt
Vertraulichkeit, Integrität, Verfügbarkeit
Patch
unbekannt
Zuweisende CNA
security@android.com
CVE-2026-55270
CVSS
7.8 · HIGH
EPSS
0.1%
Über das Netz
nein
Anmeldung nötig
ja
Nutzerinteraktion nötig
nein
Angriffskomplexität
niedrig
Beeinträchtigt
Vertraulichkeit, Integrität, Verfügbarkeit
Patch
unbekannt
Zuweisende CNA
security@android.com

Betroffen

Alle Android-Geräte mit Sicherheits-Patch-Level vor dem 2026-10-01 sind betroffen.

Hersteller

Google

Produkte

Android4 Versionen
▸ CPE-Rohbezeichner anzeigen (8)
  • cpe:2.3:o:google:android:14.0:*:*:*:*:*:*:*
  • cpe:2.3:o:google:android:15.0:*:*:*:*:*:*:*
  • cpe:2.3:o:google:android:16.0:-:*:*:*:*:*:*
  • cpe:2.3:o:google:android:16.0:qpr2:*:*:*:*:*:*
  • cpe:2.3:o:google:android:16.0:qpr2_beta_1:*:*:*:*:*:*
  • cpe:2.3:o:google:android:16.0:qpr2_beta_2:*:*:*:*:*:*
  • cpe:2.3:o:google:android:16.0:qpr2_beta_3:*:*:*:*:*:*
  • cpe:2.3:o:google:android:17.0:-:*:*:*:*:*:*

Prüfen

3
  • ▸Überprüfen Sie das aktuelle Sicherheits-Patch-Level aller Android-Geräte in Ihrer Organisation.
  • ▸Stellen Sie sicher, dass automatische Updates für Android-Geräte aktiviert und erfolgreich installiert werden.
▸ 1 weitere
  • ▸Führen Sie eine Bestandsaufnahme aller Android-Geräte durch, die in der Organisation verwendet werden, um den Patch-Status zu verfolgen.

Offene Punkte

3
▸ anzeigen
  • ▸Es ist nicht spezifiziert, welche spezifischen Android-Versionen am stärksten betroffen sind, außer 'vor dem Security Patch Level 2026-10-01'.
  • ▸Die genaue Art der Schwachstellen (z.B. Pufferüberläufe, Use-after-free) ist nicht detailliert.
  • ▸Es wird nicht angegeben, ob diese Schwachstellen bereits aktiv ausgenutzt werden.

Red-Team-Relevanz

Was heißt das für dein nächstes Assessment?

▸ Einordnung anzeigen
  • Initial Access möglich?Unklar
  • Privilege Escalation relevant?Unklar
  • Exploit öffentlich verfügbar?Möglich
  • Detection / Logging prüfbar?Möglich
  • Für Purple-Team-Szenario geeignet?Unklar

Kundenfragen

  • Sind wir hiervon betroffen — und können wir es detektieren?

MITRE ATT&CK(4)

Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.

T1068Exploitation for Privilege Escalationzugeordnet

„Angreifern die Erhöhung von Privilegien“

T1203Exploitation for Client Executionzugeordnet

„Ausführung beliebigen Codes ermöglichen“

T1499Denial of Servicezugeordnet

„Denial-of-Service-Angriffe“

T1530Data from Local Systemzugeordnet

„Informationslecks“

Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.

Quellen & Belege· 1 Quelle

CERT-BundPrimärbelegPUBLICZuverlässigkeit Adiese Meldung

Behoerdliche Veroeffentlichung mit Amtspflicht zur Richtigkeit, frei zugaenglich.

  • Nur eine Quelle — der Sachverhalt ist an keiner zweiten Stelle gegengelesen.

Verknüpfte Intelligence

Dieselben Entitäten an anderer Stelle auf SecBoard.

Themen
hoch
Vollständigen Artikel lesen bei CERT-Bund