Android & Samsung: September-Update stopft Zero-Click-Lücken
Beim Blick in die frischen Security Bulletins für September 2026 macht man heute große Augen. Google und Samsung haben ein gigantisches Paket an Sicherheitskorrekturen geschnürt, das schlicht alarmsignalfarben leuchtet. Insgesamt 270 Schwachstellen stehen auf der Liste, und einige davon erlauben Angreifern die vollständige Kontrolle ohne jegliche Aktion des Nutzers.
Stille Code-Ausführung bedroht Millionen Android-Smartphones
Google korrigiert im September-Bulletin der Plattform insgesamt 180 Schwachstellen für die Systemversionen Android 14 bis 17. Die Aufteilung spricht Bände: 32 kritische und 148 hochgradige Fehler schlagen zu Buche. Besonders gefährlich sind Lücken zur Remote-Code-Ausführung (RCE), die Angreifer aus der Ferne ausnutzen können.
Ein echtes Einfallstor braucht nicht einmal erweiterte Systemrechte, was die Hürde für Angriffe extrem niedrig ansetzt. Das stellt vor allem Nutzer vor Herausforderungen, wenn Update-Chaos bei Samsungs Flaggschiffen die zeitnahe Auslieferung wieder einmal verzögert. Wer sein Gerät wirklich absichern will, muss zwingend den Patch-Stand 2026-09-05 erreichen. Parallel dazu verteilt Google ein kleines Google-Play-System-Update auf Basis der Version v2026-08-01S+ mit dem unveränderten Stand 2026-08-01.
Samsung-Bilddecoder als Einfallstor ohne Nutzerinteraktion
Zeitgleich liefert Samsung sein eigenes Bulletin SMR-SEP-2026 ab und bereinigt 90 Schwachstellen. Davon übernimmt der Hersteller 58 Lücken aus dem Google-Bulletin, aufgeteilt in 18 kritische und 40 hochgradige Fehler. Ergänzt wird das Paket durch 31 eigene Schwachstellen (SVE), die unter anderem die Exynos-Chipsätze, den WLAN-Stack, das Display und den Sicherheitsspeicher KnoxVault betreffen.
Absurd gefährlich wird es bei der Bildverarbeitung. Googles Sicherheitsteam Project Zero deckte zwei kritische Heap-basierte Buffer-Overflows in den DNG- und JPEG-Decodern von Samsung auf. Unter den Kennungen SVE-2026-3247 und SVE-2026-3282 beziehungsweise CVE-2026-21095 und CVE-2026-21096 gelistet, erfordern diese Lücken null Interaktion. Ein bloßes Empfangen oder automatisches Einlesen eines präparierten Bildes reicht für die Infektion bereits aus.
Patch-Pflicht für alle Android-Generationen ab Version 14
Dass ausgerechnet die Bildverarbeitung als Einfallstor dient, macht das aktuelle Update zur absoluten Pflichtveranstaltung. Betroffen sind durchgehend Geräte mit Android 14, 15, 16 und 17. Wer die Installation vor sich herschiebt, geht fahrlässig mit seinen Daten um.
Problematisch wird dieser Update-Zwang für ältere Modellreihen. Nutzer von Geräten, bei denen Samsung den Update-Takt drastisch gekürzt hat, stehen jetzt vor einer echten Zitterpartie. Schnelle Aktualisierung auf das Patch-Level 2026-09-05 ist hier die einzige verlässliche Medizin gegen stille Angriffe.
Schmidtis Blog zu Deiner bevorzugten Quelle bei Google hinzufügen
Links mit einem * sind Partner-Links. Durch einen Klick darauf gelangt ihr direkt zum Anbieter. Solltet ihr euch dort für einen Kauf entscheiden, erhalte ich eine kleine Provision. Für euch ändert sich am Preis nichts. Danke für eure Unterstützung!
