Android-Patchday: 200 Sicherheitslücken geschlossen

Google hat zum September-Patchday ein umfangreiches Sicherheitsupdate für Android ausgeliefert und dabei gleich 200 Schwachstellen geschlossen. Betroffen sind verschiedene Kernkomponenten des Betriebssystems ebenso wie Bausteine von Drittherstellern. Ein Teil dieser Lücken gilt als besonders brisant, weil sich Angreifer darüber ohne jegliches Zutun der Nutzer Zugriff verschaffen könnten – im schlimmsten Fall aus der Ferne.

Für Millionen Smartphones und Tablets ist das relevant, denn Android bleibt das mit Abstand am weitesten verbreitete mobile Betriebssystem. Wie schnell die Korrekturen tatsächlich auf den Geräten landen, hängt allerdings nicht allein von Google ab. Parallel dazu tauchten in derselben Woche Sicherheitshinweise zu Adobe Photoshop Mobile für Android auf, und Sony kündigte den Sprung auf Android 17 für ein aktuelles Xperia-Modell an. Wir ordnen ein, was hinter den Meldungen steckt.

Was der September-Patchday konkret bringt

Laut dem Bericht von Golem.de hat Google mit dem September-Update 200 Sicherheitslücken beseitigt. Der Konzern gruppiert die Schwachstellen in seiner Release-Ankündigung wie üblich nach der jeweils betroffenen Komponente. Viele dieser Gruppen enthalten mindestens eine Lücke, die eine gefährliche Rechteausweitung oder das Ausführen von Schadcode erlaubt.

Die Verteilung nach Schweregrad zeigt, wie ernst die Lage ist: 32 Lücken stuft Google als kritisch ein, weitere 148 erreichen einen hohen Schweregrad. Die verbleibenden 20 Schwachstellen beziehen sich sämtlich auf das Google-Play-System; zu ihnen macht der Konzern keine Angaben zur Einstufung. Diese Größenordnung macht den September-Patchday zu einem der umfangreicheren der jüngeren Vergangenheit.

Besonders aufmerksam sollte der Hinweis machen, dass für die Ausnutzung mancher Lücken keinerlei Vorabberechtigungen nötig sind. Einige lassen sich nur lokal auf dem Gerät missbrauchen, andere jedoch auch aus der Ferne. Der Satz „Für die Ausnutzung dieser Sicherheitslücke ist keine Benutzerinteraktion erforderlich“ taucht in Googles Meldung insgesamt siebenmal auf – ein deutliches Signal für das Angriffspotenzial. Wenn ein Angreifer weder eine Aktion des Nutzers noch besondere Rechte benötigt, sinkt die Hürde für einen erfolgreichen Angriff erheblich.

Welche Komponenten betroffen sind

Die 200 Schwachstellen verteilen sich quer durch das System. Betroffen sind unter anderem die Android-Runtime, das Framework, das System, der Kernel, der Setup-Wizard und das bereits erwähnte Google-Play-System. Diese Bandbreite zeigt, dass sich die Probleme nicht auf eine Nische beschränken, sondern zentrale Bausteine des Betriebssystems durchziehen.

Hinzu kommen Lücken in Komponenten von Drittanbietern. Google nennt dabei Zulieferer wie Arm, Imagination Technologies, Mediatek, Tsingteng Micro, Unisoc und Qualcomm. Diese Firmen liefern etwa Grafik- und Prozessorbausteine, die in einem großen Teil der Android-Hardware stecken. Fehler auf dieser Ebene sind heikel, weil sie oft tief im System sitzen und deshalb weitreichende Folgen haben können, wenn ein Angreifer sie ausnutzt.

Eine Entwarnung gibt es immerhin: Zum Zeitpunkt der Veröffentlichung deutet nichts auf eine aktive Ausnutzung der gepatchten Lücken hin. Das bedeutet, dass die Fehler geschlossen wurden, bevor sie – soweit bekannt – in freier Wildbahn für Angriffe verwendet wurden. Diese Momentaufnahme kann sich allerdings ändern, sobald technische Details öffentlich kursieren und Angreifer sie auswerten.

Warum das Patch-Level 2026-09-05 wichtig ist

Um die Korrekturen zu erhalten, sollten Nutzer ihr Gerät auf das Patch-Level 2026-09-05 aktualisieren. Android weist das aktuelle Sicherheitspatch-Level in den Systemeinstellungen aus – daran lässt sich ablesen, ob die jüngsten Fixes bereits installiert sind. Ein höheres oder gleiches Datum an dieser Stelle zeigt, dass die entsprechenden Lücken auf dem Gerät geschlossen sein sollten.

Der Haken an der Sache ist die Verteilung. Wie bei Android üblich, stellt Google die Patches zwar bereit, doch die einzelnen Gerätehersteller müssen sie erst aufbereiten und an ihre Kunden weiterreichen. Zwischen Googles Veröffentlichung und der tatsächlichen Verfügbarkeit auf einem konkreten Smartphone kann daher Zeit vergehen. Wie lange, hängt vom Hersteller, vom Modell und vom jeweiligen Update-Versprechen ab. Wer ein Pixel-Gerät oder ein anderes Modell mit zügiger Update-Politik nutzt, ist tendenziell schneller versorgt als jemand mit einem älteren oder günstigeren Gerät.

Kritische Lücken betreffen Android 14 bis 17

Wie auch heise online berichtet, ermöglichen die kritischen Schwachstellen Attacken auf gleich mehrere Android-Generationen: Android 14, 15, 16 und 17. Damit sind sowohl ältere als auch die aktuellsten Versionen des Betriebssystems im Rennen. Für Nutzer heißt das, dass ein vergleichsweise aktuelles System allein kein Schutz ist – entscheidend bleibt, dass die Sicherheitsupdates tatsächlich eingespielt werden.

Dass sich die kritischen Probleme über vier Versionsstände erstrecken, unterstreicht, wie tief manche der betroffenen Komponenten im System verankert sind. Fehler in Kernbausteinen wie Framework oder Kernel wirken sich häufig versionsübergreifend aus, weil diese Bestandteile über mehrere Android-Generationen hinweg fortgeführt werden.

Adobe Photoshop Mobile: Schwachstellen auf Android

Neben dem großen Patchday gibt es eine weitere Meldung, die Android-Nutzer betrifft. In Adobe Photoshop Mobile für Android existieren nach Angaben des BSI mehrere Schwachstellen. Das CERT-Bund führt den Fall unter der Kennung WID-SEC-2026-3273 und stuft ihn insgesamt mit dem Schweregrad „mittel“ ein.

Laut der Beschreibung kann ein lokaler Angreifer diese Lücken ausnutzen, um seine Privilegien zu erhöhen und Sicherheitsmaßnahmen zu umgehen. Das Bürger-CERT des BSI weist ergänzend darauf hin, dass für eine erfolgreiche Ausnutzung eine Benutzeraktion erforderlich ist. Anders als bei den besonders kritischen Android-Lücken lässt sich der Angriff hier also nicht komplett ohne Zutun des Nutzers durchführen. Trotzdem gilt: Wer Photoshop Mobile auf einem Android-Gerät verwendet, sollte die App über den offiziellen Store auf dem aktuellen Stand halten, damit die entsprechenden Korrekturen greifen.

Sony bringt Android 17 auf das Xperia 1 VIII

Positive Nachrichten kommen von Sony. Der Hersteller rollt Android 17 auf das Xperia 1 VIII aus, wie heise online meldet. Damit erhält das Modell die jüngste Generation des Betriebssystems – und im Zuge eines solchen Versionssprungs in der Regel auch die aktuellen Sicherheitskorrekturen.

Für Besitzer entsprechender Geräte ist das ein wichtiger Punkt, gerade angesichts des umfangreichen September-Patchdays. Ein aktuelles Betriebssystem ist die Voraussetzung dafür, dass Hersteller die neuesten Fixes überhaupt zeitnah bereitstellen. Sonys Schritt zeigt zudem, dass Update-Politik ein handfestes Kaufargument bleibt: Wie lange und wie zügig ein Modell mit neuen Android-Versionen und Sicherheitsupdates versorgt wird, entscheidet maßgeblich darüber, wie sicher ein Gerät über seine Lebensdauer hinweg bleibt.

Was bedeutet das für dich?

Die Kernbotschaft ist klar: Aktualisiere dein Android-Gerät zeitnah, sobald das entsprechende Update bereitsteht. Auch wenn bislang keine aktiven Angriffe auf die frisch geschlossenen Lücken bekannt sind, verringert jedes Update das Risiko spürbar. Konkret solltest du folgende Schritte gehen:

• Prüfe das Sicherheitspatch-Level: Öffne die Einstellungen und suche unter „Sicherheit“ beziehungsweise „Über das Telefon“ nach dem Android-Sicherheitspatch. Steht dort das Datum 2026-09-05 oder ein neueres, sind die aktuellen Fixes eingespielt.
• Suche aktiv nach Updates: Warte nicht nur auf die automatische Benachrichtigung. In den Systemeinstellungen kannst du unter dem Punkt Software-Update manuell nach neuen Versionen suchen.
• Halte auch Apps aktuell: Der Fall Photoshop Mobile zeigt, dass nicht nur das Betriebssystem betroffen ist. Aktualisiere Apps über den offiziellen Store und aktiviere nach Möglichkeit automatische App-Updates.
• Behalte das Google-Play-System im Blick: Ein Teil der Fixes läuft über das Google-Play-System, das sich unabhängig vom eigentlichen Firmware-Update aktualisieren kann. Ein aktuelles Play-System ist deshalb ebenfalls wichtig.
• Denk über deinen Update-Zeitraum nach: Wenn dein Gerät keine Sicherheitsupdates mehr erhält, steigt das Risiko mit jeder neu bekannten Lücke. Beim nächsten Kauf lohnt ein Blick auf das Update-Versprechen des Herstellers.

Ein Restrisiko bleibt außerhalb deiner Kontrolle: Wie schnell dein Hersteller Googles Patches ausliefert, kannst du nicht beeinflussen. Umso wichtiger ist es, verfügbare Updates ohne Verzögerung zu installieren, statt sie tagelang wegzuklicken.