- Samsung stopft im September‑Update 2026 insgesamt 90 Sicherheitslücken auf Galaxy‑Smartphones und weitere Geräte.
- 18 Schwachstellen gelten als kritisch, 40 als hochriskant, viele ermöglichen potenziell Codeausführung aus der Ferne ohne Nutzerinteraktion.
- 31 Lücken stammen aus Samsungs eigener Software, darunter zwei gefährliche Fehler in Bild‑Decodern, die Angriffe über manipulierte Fotos erlauben.
- Android 14 bis 17 sind betroffen, One UI 9 (Android 17) steckt zunächst nur auf Fold 8, Flip 8 und S26 FE, weitere Geräte folgen.
- Die Updates kommen gestaffelt nach Modell und Region, einige Patches werden direkt über Google‑Play‑Dienste verteilt, wer warten muss, bleibt länger verwundbar.
Das ist die Art von Update, die die meisten Menschen ignorieren. Es ist auch die Art von Update, über die man sprechen sollte.
18 der Lücken sind als kritisch eingestuft, 40 als hochriskant. Die schwersten unter ihnen erlauben Fernausweitung von Berechtigungen ohne zusätzliche Ausführungsrechte, und ohne Nutzerinteraktion. Das bedeutet: Ein Angreifer kann im schlimmsten Fall aus der Distanz die Kontrolle über ein ungepatchtes Gerät gewinnen, ohne dass der Besitzer etwas tut oder irgendetwas anklickt. Das Gerät muss nur online sein.
Besonders interessant, und das ist selten ein gutes Zeichen, wenn man "interessant" über Sicherheitslücken sagt, sind zwei Schwachstellen in Samsungs eigener Bildverarbeitungsbibliothek. Heap-basierte Pufferüberläufe im DNG- und JPG-Decoder. Konkret: Eine manipulierte Bilddatei kann als Träger für Schadcode dienen. Man öffnet ein Foto, das aussieht wie ein Foto, und gibt dabei jemandem Zugriff, den man nicht eingeladen hat.
Das ist kein theoretisches Szenario. Das ist der Angriffsvektor, der seit Jahren funktioniert und der immer wieder auftaucht, weil Bildformate komplex sind und Decoder-Code alt und schwer zu prüfen ist.
Die Patches decken Android 14 bis 17 ab. Android 17 bildet die Basis von One UI 9, derzeit auf dem Fold 8, Flip 8 und dem Galaxy S26 FE. Ältere Modelle, Fold 4, Flip 4, S22, rutschen in einen quartalsweisen Patch-Rhythmus. Sie bekommen noch Sicherheitsupdates, aber kein Android 17 mehr. Das ist die stille Botschaft jedes Security-Bulletins: Wer ein älteres Gerät hat, bekommt weniger, seltener, irgendwann gar nichts mehr.
Wie schnell das Update ankommt, hängt von Modell und Region ab. Manche Geräte bekommen es sofort, andere warten Wochen. Ein Teil der Korrekturen läuft über Google-Play-Systemupdates, unabhängig vom klassischen Firmware-Update. Wer nicht warten will, schaut unter Einstellungen, Software-Update, ob das September-Paket schon verfügbar ist.
Was mich an solchen Bulletins beschäftigt, ist nicht die technische Komplexität. Es ist die Verteilung der Verantwortung. Google schließt generische Android-Lücken. Samsung flickt eigene Bibliotheken. Hersteller verteilen das Update je nach Kapazität und Region. Der Nutzer wartet, oder er wartet nicht und prüft selbst.
In der Zwischenzeit sind die Lücken bekannt. Veröffentlicht. Dokumentiert mit CVE-Nummern und technischen Details. Jeder, der sie ausnutzen will, kann das Bulletin genauso lesen wie jeder, der sie schließen will.
Wer sein Galaxy-Smartphone nicht aktualisiert, vertraut darauf, dass niemand die bekannten Lücken ausnutzt.
Das ist 2026 kein vernünftiges Vertrauen mehr.
Kommentare
Kommentar veröffentlichen
Kommentar