Pixel Patchday Oktober 2026: Google schließt kritische Lücken

Das BSI-BürgerCERT warnt vor mehreren Schwachstellen in Google Android Pixel, über die ein Angreifer seine Privilegien erhöhen und Informationen offenlegen kann. Google hat die zugehörigen Patches in zwei getrennten Dokumenten veröffentlicht: Das Android Security Bulletin mit Patch-Level 2026-10-01 erschien am 5. Oktober 2026, das Pixel Update Bulletin mit Patch-Level 2026-10-05 am 6. Oktober 2026. Damit ist der Pixel Patchday Oktober 2026 offiziell eröffnet. Eine der gewichtigsten Lücken ist CVE-2026-55269 in der Systemkomponente, die laut Google zu lokaler Rechteausweitung führt. Einen CVSS-Score nennen die Bulletins nicht — sie arbeiten mit den Schweregraden „Kritisch“ und „Hoch“.

Pixel Patchday Oktober 2026: Was das BSI meldet

Als Ursachen der vom BSI gemeldeten Schwachstellen führt die Meldung Use-After-Free, eine Race-Condition, einen Out-of-Bounds-Schreibzugriff, eine fehlende Berechtigungsprüfung sowie eine fehlerhafte Rechteverwaltung an. Das sind klassische Speicher- und Logikfehler. Use-After-Free und Out-of-Bounds-Zugriffe entstehen typischerweise dort, wo Speicher freigegeben oder beschrieben wird, ohne die Grenzen sauber zu prüfen; fehlende Berechtigungsprüfungen und fehlerhafte Rechteverwaltung deuten dagegen auf Fehler in der Zugriffskontrolle hin. Beide Muster zusammen sind eine unangenehme Kombination: Ein Angreifer muss nicht zwingend Speicher manipulieren, wenn ihm eine fehlerhafte Rechteprüfung den direkten Weg in höhere Berechtigungsebenen öffnet.

Wichtig für die Einordnung: Das BSI nennt in seiner Warnung Produktgruppe, Angriffsziele und Ursachen, aber keine konkreten CVE-Nummern. Diese stammen aus den Google-Bulletins, nicht aus der BürgerCERT-Meldung.

Zwei Bulletins, zwei Patch-Level: 2026-10-01 und 2026-10-05

Google trennt die Updates bewusst. Das Android Security Bulletin adressiert die plattformweiten Probleme im Android Open Source Project, also Framework und System, die alle Android-Geräte betreffen können. Es steht auf Patch-Level 2026-10-01. Das Pixel Update Bulletin ergänzt die Pixel-spezifischen und Kernel-Lücken und hebt das Sicherheitsniveau auf Patch-Level 2026-10-05. Entscheidend für Anwender ist die Aussage im Pixel-Bulletin, dass der Patch-Level ab 2026-10-05 alle Probleme des Pixel-Bulletins und des Android Security Bulletins Oktober 2026 behebt.

In der Praxis heißt das: Wer ein Pixel mit dem vollständigen Oktober-Patch versorgt, hat beide Wellen abgedeckt. Nach Angaben von Google erhalten alle unterstützten Geräte ein Update auf den Patch-Level vom 05.10.2026, und der Hersteller empfiehlt, diese Updates zu akzeptieren. Die Google-Pixel-Community verweist für die Details auf das Pixel Security Bulletin; die Seite selbst enthält überwiegend Navigation und keine weiterführenden technischen Angaben.

Diese CVEs und Schweregrade listen die Bulletins

Im Framework-Bereich (AOSP 14, 15, 16, 16-qpr2 und 17) listet das Android Security Bulletin CVE-2026-58865 als Denial-of-Service mit Schweregrad „Kritisch“. Hinzu kommen mehrere Rechteausweitungen mit Schweregrad „Hoch“: CVE-2026-55270, CVE-2026-58815, CVE-2026-58841, CVE-2026-58854 und CVE-2026-58856, dazu CVE-2026-58834 als DoS (Hoch) und die Rechteausweitung CVE-2026-55286, deren Eintrag im abgerufenen Text abgeschnitten ist.

In der Systemkomponente (AOSP 16, 16-qpr2, 17) sind mehrere kritische Rechteausweitungen gelistet: CVE-2026-55269, CVE-2026-55280, CVE-2026-58835 und CVE-2026-58880, zusätzlich die DoS-Einträge CVE-2026-49933 und CVE-2026-55265. Weitere System-Einträge mit Schweregrad „Hoch“ umfassen eine Codeausführung per Fernzugriff (RCE) unter CVE-2026-49878 sowie die Rechteausweitungen CVE-2026-45513, CVE-2026-49880 und CVE-2026-49885.

Das Pixel Update Bulletin ergänzt Kernel-Lücken (CVE-2026-56906 im Unterbereich Fs, CVE-2026-56936 im Wacom-HID, beide EoP, Hoch) und Pixel-spezifische Einträge: CVE-2026-55330 (Bluetooth, EoP, Kritisch), CVE-2026-56952 (GDMC, EoP, Kritisch), CVE-2026-55307 (GSA, Offenlegung von Informationen, Kritisch) und CVE-2026-0198 (GDMC, Offenlegung von Informationen, Hoch). Die Kürzel folgen der Bulletin-Konvention: EoP steht für Rechteausweitung, ID für Offenlegung von Informationen, RCE für Codeausführung per Fernzugriff und DoS für Denial of Service.

Ausnutzung, Workarounds und Aufwand für Admins

Ein öffentlicher Proof-of-Concept ist im vorliegenden Material nicht dokumentiert, ebenso wenig eine bereits beobachtete Ausnutzung. Google beschreibt die schwerwiegendste Lücke des Android Security Bulletins in der Systemkomponente so, dass sie ohne zusätzliche Ausführungsberechtigungen und ohne Nutzerinteraktion zur lokalen Rechteausweitung führen kann — das ist die unangenehmste Konstellation, weil sie keine Mitwirkung des Opfers voraussetzt.

Die sekundäre Einordnung fällt differenzierter aus. plutex.de weist darauf hin, dass für einige der Angriffe Voraussetzungen wie bestimmte Berechtigungen, eine spezielle Gerätekonstellation oder eine Nutzeraktion nötig sein können. Wer die Dringlichkeit bewerten will, sollte deshalb zwischen „ohne Interaktion ausnutzbar“ und „nur unter Vorbedingungen erreichbar“ unterscheiden — beides steht in den Bulletins nebeneinander.

Ein Workaround ist im Material nicht genannt. Der einzige saubere Weg ist das Einspielen des Updates. Der Aufwand ist gering: Pixel-Geräte beziehen die Patches über den regulären Update-Mechanismus, ein manuelles Eingreifen in den Update-Kanal ist nicht beschrieben.

Fazit

Für Pixel-Nutzer und Admins, die Pixel-Flotten betreuen, gilt: Der Zielzustand ist Patch-Level 2026-10-05, nicht 2026-10-01 — nur er enthält die Pixel- und Kernel-Korrekturen zusätzlich zu den plattformweiten Framework- und System-Fixes. Da laut Google alle unterstützten Geräte diesen Stand erhalten und der Hersteller die Annahme empfiehlt, ist die Priorität hoch, der Aufwand aber niedrig. Zuständige sollten nach dem Rollout die tatsächlich installierte Patch-Ebene prüfen, statt sich auf die Update-Meldung zu verlassen.

Ein Vorbehalt bleibt: Die CVE-Listen im Android Security Bulletin und im Pixel Update Bulletin waren im abgerufenen Text teilweise abgeschnitten. Eine belastbare Gesamtzahl der Lücken lässt sich daraus nicht ableiten.

Quellen