Google hat am 6. April 2026 das monatliche Android-Sicherheitsbulletin veröffentlicht. Diesen Monat werden zwei Schwachstellen adressiert, von denen eine als kritisch eingestuft ist. Betroffen sind Android-Versionen 14, 15 und 16. Nutzer unterstützter Geräte sollten die verfügbaren Updates zeitnah einspielen.

Die Schwachstellen im Überblick

Die schwerwiegendere der beiden Lücken ist CVE-2026-0049, eine Denial-of-Service-Schwachstelle mit dem Schweregrad „kritisch“. Angreifer können sie ohne zusätzliche Ausführungsrechte ausnutzen, um betroffene Geräte zum Absturz zu bringen oder zum Einfrieren zu bringen. Welcher konkrete Systemdienst oder Prozess dabei betroffen ist und wie ein Angriff im Detail abläuft, hat Google bisher nicht offengelegt. Aktive Ausnutzung in der Wildnis ist bislang nicht bekannt.

Die zweite Schwachstelle, CVE-2025-48651, betrifft Androids Hardware-gestütztes Schlüsselspeichersystem StrongBox und wird mit „hoch“ bewertet. StrongBox ist ein dediziertes Hardware Security Module (HSM), das kryptografische Schlüssel sicher verwahren soll. Die Lücke betrifft Komponenten von Drittherstellern, darunter NXP und Thales. Was ein Angreifer nach einer erfolgreichen Attacke auf StrongBox konkret erreichen kann, geht aus der offiziellen Beschreibung nicht hervor. Denkbar sind jedoch unbefugte Zugriffe auf eigentlich abgeschottete Schlüssel, was schwerwiegende Folgen für die Gerätesicherheit und gespeicherte Zugangsdaten haben könnte.

Hintergrund: Googles neue Patch-Strategie

Seit Juli 2025 stellt Google bei seinen monatlichen Patchdays nur noch Korrekturen für Schwachstellen bereit, die es selbst als besonders gefährlich einstuft. Weitere Sicherheitslücken werden seitdem nur noch quartalsweise geschlossen. Dieses Vorgehen reduziert zwar den Update-Aufwand, bedeutet aber auch, dass weniger kritische Lücken länger offen bleiben.

Das Bulletin enthält zwei Patch-Levels: „2026-04-01“ und „2026-04-05“. Geräte mit dem neueren Level „2026-04-05“ enthalten alle Korrekturen aus dem aktuellen sowie aus allen früheren Bulletins.

Betroffene Systeme

– Android 14
– Android 15
– Android 16 und 16-qpr2

Neben Google-Pixel-Geräten stellen auch Hersteller wie Samsung und Huawei monatliche Sicherheitsupdates für ausgewählte Geräte bereit. Die Verfügbarkeit und der Zeitpunkt der Updates variieren je nach Gerät und Hersteller.