Google veröffentlichte am 2. November 2026 sein Android-Sicherheitsbulletin für November. Es listet drei kritische Lücken zur Ausführung von Schadcode aus der Ferne (Remote Code Execution, RCE) in Framework und System auf. Laut Bulletin ist für ihre Ausnutzung keine Interaktion mit dem Nutzer erforderlich. Außerdem legt Google zwei Patchlevel mit unterschiedlicher Abdeckung fest. Das offizielle Android-Bulletin nennt Android 14, 15, 16, 16-qpr2 und 17 als betroffene Versionen.
Drei kritische RCE-Lücken in Framework und System
Eine RCE-Lücke kann Angreifern ermöglichen, Schadcode aus der Ferne auszuführen. Google führt eine solche kritische Lücke im Android Framework und zwei weitere in Android System auf:
| CVE | Android-Komponente | Einstufung | Aufgeführte Android-Versionen | Nutzerinteraktion erforderlich |
| CVE-2026-58868 | Framework | Kritisch, RCE | Android 14, 15, 16, 16-qpr2 und 17 | Nein |
| CVE-2026-58876 | System | Kritisch, RCE | Android 14, 15, 16, 16-qpr2 und 17 | Nein |
| CVE-2026-58936 | System | Kritisch, RCE | Android 14, 15, 16, 16-qpr2 und 17 | Nein |
Für die Framework-Lücke CVE-2026-58868 nennt Google außerdem keine zusätzlich erforderlichen Ausführungsrechte. Die Schweregradeinschätzung des Bulletins setzt voraus, dass Plattform- und Dienstschutzmaßnahmen zu Entwicklungszwecken deaktiviert oder erfolgreich umgangen werden.
Für den vollständigen Schutzumfang zählt das Patchlevel: 2026-11-05 oder ein späteres deckt alle anwendbaren Probleme aus dem November-Bulletin und früheren Bulletins ab.
Was die beiden Patchlevel abdecken
Das Level 2026-11-01 umfasst die diesem Level zugeordneten Fehler. 2026-11-05 oder höher deckt alle anwendbaren Probleme aus dem November-Bulletin und früheren Bulletins ab. Google führt die zwei Stufen ein, damit Android-Partner einen Teil der gemeinsam genutzten Fehlerbehebungen schneller ausliefern können.
| Patchlevel | Abdeckung |
| 2026-11-01 | Die diesem Patchlevel zugeordneten Fehler |
| 2026-11-05 oder höher | Alle anwendbaren Probleme aus dem November-Bulletin und früheren Bulletins |
Ein allgemeines englischsprachiges Tutorial von TechFix Guides behandelt, wie Android-Nutzer den Patchstand prüfen, Systemupdates installieren und automatische Updates aktivieren können. Es wurde am 11. März 2026 veröffentlicht und behandelt nicht die November-Lücken.
Das Bulletin-Datum und die Verteilung auf Smartphones
Der 2. November 2026 ist das Veröffentlichungsdatum von Googles Bulletin. Android-Partner entscheiden, wie sie anwendbare Fehlerbehebungen an ihre Geräte ausliefern; das Datum der Veröffentlichung ist daher nicht zugleich der Liefertermin für ein bestimmtes Smartphone. Google zufolge werden die Partner mindestens einen Monat vor Veröffentlichung über Sicherheitsprobleme informiert.
