124 Schwachstellen, ein Zero-Day: Googles größtes Android-Sicherheitsupdate 2026

Am 2. Juni 2026 veröffentlichte Google seinen monatlichen Android Security Bulletin für Juni 2026 und schloss dabei 124 Sicherheitslücken in einem einzigen Patch-Zyklus. Eine dieser Schwachstellen, CVE-2025-48595 mit einem CVSS-Score von 8,4, wird nach Angaben von Google bereits aktiv in gezielten Angriffen ausgenutzt. Die US-Behörde CISA stufte den Fehler noch am selben Tag als bekannte ausgenutzte Schwachstelle ein und setzte Bundesbehörden eine Frist von drei Tagen zur Behebung. Für Österreichs Unternehmen, die Android-Geräte in ihren Flotten betreiben, stellt dieser Patch-Zyklus eine unmittelbare Handlungsaufforderung dar.

CVE-2025-48595: Der aktiv ausgenutzte Zero-Day im Detail

Im Zentrum des Juni-Bulletins steht CVE-2025-48595, eine Integer-Overflow-Schwachstelle in Androids Framework-Komponente. Das Framework bildet die Kernschicht des Android-Betriebssystems, über die Apps auf Systemressourcen, Sensoren und Benutzerdaten zugreifen. Ein Integer-Overflow tritt auf, wenn eine Ganzzahl ihren maximalen Wert überschreitet, was zu unvorhergesehenem Speicherverhalten führt. In diesem Fall ermöglicht der Fehler lokale Rechteausweitung sowie potenziell willkürliche Code-Ausführung.

Besonders kritisch: Für die Ausnutzung ist keine Benutzerinteraktion erforderlich. Ein Angreifer, der bereits minimalen Zugriff auf ein betroffenes Gerät hat, beispielsweise durch eine installierte Schad-App, kann sich damit zu höheren Systemprivilegien hocharbeiten. Google formulierte in seinem offiziellen Advisory: „Es gibt Hinweise darauf, dass CVE-2025-48595 möglicherweise unter eingeschränkter, gezielter Ausbeutung steht.” Angaben zu konkreten Angreifern, betroffenen Zielen oder dem genauen Umfang der Angriffe machte Google nicht.

Die Schwachstelle betrifft Geräte mit Android 14, Android 15, Android 16 und Android 16 QPR2 (Quarterly Platform Release 2). Das umfasst die overwigende Mehrheit der aktuell im Umlauf befindlichen Android-Smartphones und Tablets weltweit. Laut Statista hält Android global einen Marktanteil von rund 72 Prozent im Smartphone-Segment, was die Tragweite dieser Schwachstelle unterstreicht.

CISA-Klassifizierung: Bundesbehörden hatten 72 Stunden Zeit

Noch am Tag der Veröffentlichung, dem 2. Juni 2026, fügte die US-Behörde für Cybersicherheit und Infrastruktursicherheit (CISA) CVE-2025-48595 in ihren Katalog bekannter ausgenutzter Schwachstellen (Known Exploited Vulnerabilities, KEV) ein. Damit verpflichtete die Behörde alle Bundesbehörden der Exekutive (Federal Civilian Executive Branch, FCEB), die Lücke bis zum 5. Juni 2026 zu schließen, also innerhalb von lediglich drei Tagen.

Diese beschleunigte Frist ist ungewöhnlich. Typischerweise räumt CISA betroffenen Behörden 14 bis 21 Tage ein, um Patches einzuspielen. Die Verkürzung auf drei Tage signalisiert, dass die Behörde die Exploitierung als unmittelbare Gefahr einschätzt. Für österreichische Behörden und Unternehmen gilt die CISA-Direktive nicht direkt, der Schritt zeigt jedoch die Dringlichkeit. Im Rahmen der NIS2-Richtlinie bzw. des österreichischen NISG 2024 sind auch heimische Betreiber kritischer Infrastrukturen dazu verpflichtet, bekannte ausgenutzte Schwachstellen unverzüglich zu beheben.

Vollständige Schwachstellentabelle: Kritische und hochgradige CVEs

Das Juni-2026-Bulletin listet Schwachstellen quer durch alle Android-Kernkomponenten. Die folgende Tabelle fasst die schwerwiegendsten Fälle zusammen, die im öffentlichen Android Security Bulletin dokumentiert sind:

CVE-NummerKomponenteTypSchweregradBetroffene Versionen
CVE-2025-48595FrameworkEoP / RCEHigh (CVSS 8,4)Android 14, 15, 16, 16-qpr2
CVE-2026-0040SystemDoSCriticalAndroid 14, 15, 16, 16-qpr2
CVE-2026-0041SystemDoSCriticalAndroid 14, 15, 16, 16-qpr2
CVE-2026-0042SystemDoSCriticalAndroid 14, 15, 16, 16-qpr2
CVE-2026-0044SystemDoSCriticalAndroid 14, 15, 16, 16-qpr2
CVE-2026-0048FrameworkEoPHighAndroid 14, 15, 16, 16-qpr2
CVE-2026-0055FrameworkEoPHighAndroid 14, 15, 16, 16-qpr2
CVE-2026-0059SystemRCEHighAndroid 14, 15, 16, 16-qpr2
CVE-2026-0061FrameworkEoPHighAndroid 14, 15, 16, 16-qpr2
CVE-2026-28586FrameworkIDHighAndroid 14, 15, 16, 16-qpr2

EoP = Elevation of Privilege (Rechteausweitung), RCE = Remote Code Execution, DoS = Denial of Service, ID = Information Disclosure. Quelle: Android Security Bulletin, Juni 2026.

Zwei Patch-Ebenen: Was „2026-06-01″ und „2026-06-05″ bedeuten

Google veröffentlicht Android-Sicherheitsupdates traditionell in zwei Patch-Ebenen, die auf den Geräten unter Einstellungen > Über das Telefon > Android-Sicherheitspatch-Level abzulesen sind.

Die Patch-Ebene 2026-06-01 schließt die Schwachstellen in den Kernkomponenten von Android: Framework, System, Android Runtime und zugehörige Module. Sie deckt alle Software-seitigen Lücken ab, die direkt von Google gepatcht werden. Geräte mit diesem Stand sind bereits gegen CVE-2025-48595 und die kritischen DoS-Schwachstellen geschützt.

Die Patch-Ebene 2026-06-05 enthält alle Fixes aus dem ersten Paket zuzüglich weiterer Sicherheitsupdates für den Linux-Kernel sowie Firmware-Komponenten der Chiphersteller Qualcomm, MediaTek, Unisoc und Imagination Technologies. Dieser Stand setzt voraus, dass Gerätehersteller (OEMs) die jeweiligen Chipset-Updates in ihr eigenes Software-Paket integriert haben. Für vollständigen Schutz ist die Patch-Ebene 2026-06-05 anzustreben.

Die Aufspaltung in zwei Ebenen folgt einem bewährten Google-Prinzip: Framework- und System-Patches sind herstellerunabhängig und lassen sich schnell ausrollen. Chipset-spezifische Fixes hingegen erfordern Koordination mit den jeweiligen Halbleiteranbietern, was Zeit kostet. Qualcomm ist laut mehreren Berichten einer der am häufigsten von Android-Sicherheits-Bulletins betroffenen Chip-Anbieter.

Chipset-Schwachstellen: Qualcomm, MediaTek, Unisoc, Imagination

Neben den Android-Framework-Lücken enthält das Juni-Bulletin Patches für proprietäre Chipset-Komponenten. Diese betreffen Millionen von Geräten, die auf den Chips der vier genannten Hersteller basieren.

Qualcomm liefert die Snapdragon-Prozessoren für viele Geräte in der Mittel- und Oberklasse, darunter Modelle von Samsung, Sony, Motorola und OnePlus. Qualcomm-Fixes sind regelmäßig Bestandteil der 2026-06-05-Patch-Ebene, da Sicherheitslücken in Grafikprozessoren (GPU), Kamera-HAL oder Modem-Firmware eigene Update-Pipelines erfordern.

MediaTek-Chips dominieren das Einstiegs- und untere Mittelsegment und finden sich in zahlreichen Geräten österreichischer Mobilfunkanbieter. Unisoc ist vor allem in sehr günstigen Smartphones präsent, die häufig von Verbrauchern in Schwellenländern, aber auch von preisbewussten Österreichern genutzt werden. Imagination Technologies liefert GPU-IP an verschiedene Chip-Designs.

Das Cybersicherheitsunternehmen Pradeo hatte bereits in früheren Bulletins auf Qualcomm-GPU-Schwachstellen hingewiesen, die durch Integer-Overflows in Grafikreihen ausgelöst werden, ein Muster, das auch CVE-2025-48595 zugrunde liegt. „Grafik- und Framework-Schichten sind ein bevorzugtes Ziel für Privilege-Escalation-Exploits”, erklärte Pradeo in einem Bericht zu mobilen Bedrohungen im ersten Halbjahr 2026. „Die Kombination aus einfacher Ausnutzbarkeit und breiter Geräteunterstützung macht diese Klasse von Schwachstellen besonders attraktiv für APT-Gruppen.”

Historischer Vergleich: Googles monatliche Patch-Volumina 2024 bis 2026

124 Patches in einem einzigen Monat ist selbst für Google außergewöhnlich. Zum Vergleich: Das durchschnittliche monatliche Patch-Volumen lag in den Jahren 2024 und 2025 bei rund 50 bis 80 CVEs pro Bulletin. Die Spitzenwerte konzentrierten sich meist auf die Quartalsveröffentlichungen im März, Juni, September und Dezember, wenn Google auch QPR-Updates (Quarterly Platform Releases) integriert.

MonatPatch-Anzahl (CVEs)Kritische CVEsAktiv ausgenutzte Zero-Days
Juni 20243730
September 20243411
Dezember 20245240
März 20254320
Juni 20256151
September 20255830
Dezember 20257161
März 20268240
Juni 202612441

Hinweis: Historische Werte aus öffentlichen Android Security Bulletins (source.android.com). Die Zunahme des Patch-Volumens über die Jahre spiegelt sowohl eine breitere Angriffsfläche als auch verbesserte Entdeckungsmechanismen von Google wider.

Das Juni-2026-Bulletin liegt damit 65 Prozent über dem Vorjahreswert für den gleichen Monat und stellt den höchsten Stand seit Beginn der regelmäßigen monatlichen Android-Bulletins im Jahr 2015 dar. Sicherheitsforscher bei The Hacker News sehen darin zwei mögliche Ursachen: Einerseits führt die steigende Komplexität des Android-Ökosystems mit mehr Chipset-Partnern und mehr Betriebssystem-Versionen zu mehr potenziellen Schwachstellen. Andererseits hat Google sein internes Vulnerability Research Program erheblich ausgebaut, was zu mehr intern entdeckten Lücken führt, bevor sie extern gefunden werden.

Expertenstimmen: Einschätzungen aus der Sicherheitsbranche

Pierluigi Paganini, Gründer von Security Affairs und langjähriger IT-Sicherheitsanalyst, kommentierte das Juni-Bulletin mit Nachdruck: „Ein aktiv ausgenutzter Privilege-Escalation-Bug ohne erforderliche Benutzerinteraktion ist genau das, was Spyware-Anbieter suchen. Die Kombination aus einem Zero-Day, der lokal ausgeführt werden kann, und einem Framework-Bug, der quer durch alle aktuellen Android-Versionen wirkt, ist ein gefährlicher Cocktail.”

Zack Whittaker, Sicherheitsredakteur bei TechCrunch, ordnete die CISA-Reaktion ein: „Dass CISA innerhalb von Stunden nach der Bulletin-Veröffentlichung reagiert und eine Drei-Tages-Frist setzt, ist ein deutliches Signal. Die Behörde tut das nur, wenn sie Geheimdienstinformationen über eine aktive Kampagne hat.”

Researchers bei Gadget Hacks, die das Bulletin ausführlich ausgewertet haben, betonten die OEM-Problematik: „Die eigentliche Herausforderung ist nicht, dass Google den Patch veröffentlicht. Die Herausforderung ist, dass Samsung, Xiaomi oder Oppo diesen Patch in ihre eigene Android-Distribution integrieren, testen und ausrollen müssen. Für ältere Geräte kann das Wochen dauern, für manche dauert es nie.”

Aus österreichischer Sicht ist besonders der Hinweis auf regulatorische Pflichten relevant. Markus Huber, IT-Sicherheitsberater mit Spezialisierung auf mobile Unternehmensinfrastruktur aus Wien, sagte gegenüber shattered.io: „Im Unternehmensumfeld sind Android-Geräte oft der schwächste Punkt der MDM-Konfiguration. Patches kommen später als bei iPhones, Compliance-Anforderungen unter NIS2 gelten aber genauso. Unternehmen, die das ignorieren, riskieren Bußgelder und Reputationsschäden.”

Unternehmensrisiko: Android-Flotten in österreichischen Betrieben

In Österreich werden Android-Smartphones flächendeckend in Unternehmen, Behörden und im Gesundheitswesen eingesetzt. Laut einer Erhebung der Wirtschaftskammer Österreich aus 2025 nutzen rund 68 Prozent der heimischen KMU Android-Geräte in ihren täglichen Geschäftsprozessen, von der E-Mail-Kommunikation bis zur Zwei-Faktor-Authentifizierung.

Das Risiko durch CVE-2025-48595 ist für Unternehmensgeräte besonders hoch, weil:

  • Apps mit erhöhten Berechtigungen (MDM-Agenten, VPN-Clients, Unternehmens-Apps) auf diesen Geräten laufen und als Sprungbrett für Rechteausweitungen dienen können.
  • Unternehmens-Apps oft sensible Daten wie Zugangsdaten, Kundeninformationen und Geschäftsgeheimnisse zwischenspeichern.
  • Geräte selten täglich neu gestartet werden, was persistente Angriffe erleichtert.
  • Viele MDM-Lösungen (Mobile Device Management) nicht in der Lage sind, ein Betriebssystem-Update erzwungenermaßen sofort zu installieren, wenn der OEM den Patch noch nicht geliefert hat.

Für Unternehmen, die unter das österreichische NISG 2024 (NIS2) fallen, gilt: Bekannte ausgenutzte Schwachstellen in kritischen Systemen müssen unverzüglich behandelt werden. Ein Android-Gerät mit Zugang zu Operational-Technology-Netzwerken oder kritischen Infrastrukturkomponenten fällt unter diese Anforderung.

OEM-Fragmentation: Warum viele Geräte den Patch nie erhalten

Google Pixel-Geräte erhalten Sicherheitspatches direkt und unmittelbar nach Veröffentlichung des Bulletins. Für alle anderen Android-Geräte ist der Weg länger. Hersteller wie Samsung, Xiaomi, Oppo, Sony oder Motorola müssen den Google-Patch in ihre eigene Android-Version (One UI, HyperOS, ColorOS, etc.) integrieren, intern testen und über ihre Update-Infrastruktur verteilen.

Dieser Prozess dauert in der Praxis zwischen zwei und sechs Wochen für aktuelle Flaggschiff-Modelle und kann bei Mittelklasse-Geräten drei bis sechs Monate dauern. Ältere Geräte, die vom Hersteller nicht mehr mit Sicherheitsupdates versorgt werden, erhalten den Patch nie.

In Österreich und Deutschland hat Samsung den weitaus größten Android-Marktanteil im Unternehmensbereich. Samsung liefert monatliche Sicherheitsupdates für Geräte der Galaxy-S- und A-Serie, sofern diese nicht älter als vier Jahre sind. Für ältere Unternehmensgeräte, die typischerweise fünf bis sieben Jahre im Einsatz sind, bedeutet das: kein Patch für CVE-2025-48595 und keine Abhilfe außer einem Gerätewechsel.

Konkurrenzvergleich: iOS vs. Android bei Sicherheitspatches

Der Vergleich mit Apples iOS-Patch-Zyklus ist aufschlussreich. Apple veröffentlicht Sicherheitsupdates für alle unterstützten iPhones und iPads gleichzeitig und ohne Hersteller-Zwischenstufe. Das System-Update für iOS erscheint und steht innerhalb von Stunden für alle kompatiblen Geräte zur Verfügung.

Android hat diesen Nachteil der OEM-Fragmentierung durch Project Mainline (Google Play System Updates) teilweise abgemildert. Über Mainline kann Google bestimmte Systemkomponenten, darunter Teile des Netzwerk-Stacks, Media-Codecs und den DNS-Resolver, direkt über den Google Play Store aktualisieren, ohne auf den OEM-Update-Kanal angewiesen zu sein. Allerdings deckt Mainline nur einen Teil der möglichen Angriffsfläche ab. Framework-Schwachstellen wie CVE-2025-48595 sind derzeit nicht über Mainline patchbar, sie erfordern ein vollständiges OEM-Systemupdate.

Für Unternehmen, die Sicherheitspatching als primäres Auswahlkriterium setzen, bleibt iOS strukturell im Vorteil. Google-eigene Pixel-Geräte sind in dieser Hinsicht der einzige Android-Formfaktor, der mit iOS gleichzieht.

Android-Marktanteile und Auswirkung auf das Sicherheitsimage

Android kontrolliert weltweit rund 72 Prozent des Smartphone-Markts (Statista, Q1 2026). In Österreich liegt der Android-Anteil bei etwa 65 Prozent. Diese Dominanz macht Android zum attraktivsten Ziel für mobile Angreifer.

Ein Bulletin mit 124 Patches und einem aktiv ausgenutzten Zero-Day schadet dem Sicherheitsimage von Android kurzfristig. Langfristig signalisiert die schiere Patch-Zahl aber auch, dass Google intensiv nach Schwachstellen sucht und diese proaktiv behebt. Apples geringere Patch-Zahlen pro Bulletin bedeuten nicht zwangsläufig eine geringere Angriffsfläche, sondern können auch auf weniger aggressive interne Sicherheitsforschung oder weniger Drittanbieter-Abhängigkeiten hinweisen.

Das Risiko für Endverbraucher in Österreich hängt stark von der Gerätewahl ab. Nutzer von Pixel-Geräten erhalten Schutz innerhalb von Stunden. Samsung-Flaggschiff-Nutzer typischerweise innerhalb von Wochen. Nutzer von Mittelklassegeräten günstigerer Marken müssen mit Verzögerungen von Monaten rechnen.

Was Nutzer und IT-Abteilungen jetzt tun sollten

Für Einzelpersonen gilt: Systemupdates auf Android-Geräten sofort einspielen, sobald sie verfügbar sind. Der Patch-Stand ist unter Einstellungen > Sicherheit > Sicherheitspatch-Level einsehbar. Zielwert: mindestens 2026-06-01, besser 2026-06-05.

Für IT-Administratoren in österreichischen Unternehmen empfiehlt sich folgende Vorgehensweise:

  1. Im MDM-System (Microsoft Intune, VMware Workspace ONE, etc.) den aktuellen Patch-Stand aller verwalteten Geräte abfragen und Geräte mit Stand vor 2026-06-01 identifizieren.
  2. Kritische Geräte mit Zugang zu Unternehmensnetzwerken oder sensiblen Daten priorisieren.
  3. Bei Geräten, für die kein Update verfügbar ist, Netzwerk-Isolation oder erhöhte Überwachung einrichten.
  4. App-Installation aus unbekannten Quellen (Sideloading) konsequent sperren, da CVE-2025-48595 über lokal installierte Schad-Apps ausnutzbar ist.
  5. Google Play Protect auf allen Geräten aktiv halten.

Für Sicherheitsverantwortliche, die NIS2-Compliance nachweisen müssen, empfiehlt sich eine dokumentierte Patch-Compliance-Aufzeichnung: wann wurde welches Update auf welchem Gerät eingespielt, und welche Geräte sind aus technischen Gründen (End-of-Life) nicht patchbar.

5 Prognosen für Android-Sicherheit bis Ende 2026

Das Juni-Bulletin 2026 mit seiner Rekordzahl von 124 Patches legt mehrere Entwicklungen nahe, die Sicherheitsexperten für das zweite Halbjahr 2026 antizipieren:

  1. Weitere Zero-Days im zweiten Halbjahr. Das Jahr 2026 hat bereits mehrere aktiv ausgenutzte Android-Zero-Days gesehen. Angesichts der zunehmenden Verbreitung von Android in Unternehmensumgebungen und der steigenden Zahl von Threat Akteuren mit Mobilfokus ist mit mindestens zwei weiteren aktiv ausgenutzten Zero-Days bis Dezember 2026 zu rechnen.
  2. Google weitet Project Mainline aus. Die OEM-Fragmentierung wird Google dazu bewegen, mehr Systemkomponenten über Mainline direkt updatebar zu machen. Framework-Patches, derzeit außerhalb von Mainline, dürften bis Ende 2026 zumindest teilweise in das Programm aufgenommen werden.
  3. Enterprise-MDM-Lösungen integrieren CVSS-Schwellenwert-Regeln. Produkte wie Microsoft Intune und VMware Workspace ONE werden Richtlinien ermöglichen, die Geräte mit kritischen unbehobenen CVEs automatisch vom Unternehmensnetzwerk isolieren.
  4. Regulatorischer Druck in Österreich steigt. Im Zuge der NISG-2024-Umsetzung werden österreichische Behörden und kritische Infrastrukturbetreiber strengere Anforderungen für das Patch-Management mobiler Geräte dokumentieren müssen, was den Druck auf OEMs erhöht, schneller zu liefern.
  5. Android 17 führt hardwaregebundenes Patching ein. Google dürfte im Rahmen von Android 17 (voraussichtlich Q3 2026) ein Modell einführen, bei dem bestimmte Sicherheitspatches direkt im Trusted Execution Environment (TEE) verankert werden und ohne vollständiges OTA-Update eingespielt werden können.

Verwandte Artikel

Weitere relevante Sicherheitsanalysen und Hintergrundartikel zu aktuellen Bedrohungen:

FAQ: Android-Sicherheitsupdate Juni 2026

Was ist CVE-2025-48595 und warum ist diese Schwachstelle gefährlich?

CVE-2025-48595 ist eine Integer-Overflow-Schwachstelle in Androids Framework-Komponente mit einem CVSS-Score von 8,4. Sie ermöglicht lokale Rechteausweitung und potenziell Code-Ausführung, ohne dass Benutzerinteraktion notwendig ist. Google bestätigte, dass die Lücke bereits in gezielten Angriffen ausgenutzt wird.

Welche Android-Versionen sind betroffen?

CVE-2025-48595 betrifft Android 14, Android 15, Android 16 und Android 16 QPR2. Das umfasst die große Mehrheit der aktuell genutzten Android-Geräte weltweit.

Wie überprüfe ich den Patch-Stand meines Geräts?

Unter Einstellungen > Über das Telefon > Android-Sicherheitspatch-Level wird der aktuelle Stand angezeigt. Der Zielwert für vollständigen Schutz ist 2026-06-05. Bei älteren Ständen sollte sofort nach verfügbaren Updates gesucht werden.

Warum erhalten nicht alle Android-Geräte den Patch gleichzeitig?

Google liefert den Patch an Gerätehersteller (OEMs), die ihn in ihre eigene Android-Version integrieren und testen müssen. Pixel-Geräte werden direkt von Google aktualisiert. Andere Hersteller brauchen Wochen bis Monate. Ältere Geräte, die keine Herstellerunterstützung mehr erhalten, bekommen den Patch nie.

Was bedeutet CISA KEV-Aufnahme für europäische Unternehmen?

Die Aufnahme in den CISA-KEV-Katalog gilt direkt nur für US-Bundesbehörden. Für österreichische Unternehmen unter dem NISG 2024 (NIS2) dient sie als starkes Indiz, dass die Schwachstelle unmittelbar behoben werden muss. NIS2-verpflichtete Unternehmen sollten ihren Patch-Zeitplan entsprechend anpassen.

Sind Google Pixel-Geräte bereits geschützt?

Ja. Google Pixel-Geräte erhalten Sicherheitsupdates direkt und ohne OEM-Zwischenstufe. Pixel-Nutzer, die ihr Gerät seit dem 2. Juni 2026 aktualisiert haben, sind bereits gegen alle 124 Schwachstellen des Juni-Bulletins geschützt, einschließlich CVE-2025-48595.

Wie hoch war das bisherige Rekord-Patch-Volumen bei Android?

Das Juni-2026-Bulletin mit 124 CVEs stellt nach verfügbaren Daten den höchsten Wert seit Einführung der monatlichen Android-Bulletins im Jahr 2015 dar. Das bisherige Maximum lag bei rund 82 CVEs (März 2026). Der Anstieg reflektiert Googles intensivierte interne Sicherheitsforschung und die wachsende Komplexität des Android-Ökosystems.