Google hat mit dem September-Update eine Sicherheitslücke in Pixel-Smartphones geschlossen, die nach Unternehmensangaben bereits für begrenzte und gezielte Angriffe ausgenutzt wurde. Die als Zero-Day eingestufte Schwachstelle steckt im Mobilfunkmodem der Geräte und erfordert keinerlei Nutzerinteraktion. Betroffene sollten die Aktualisierung umgehend installieren.
Google hat mit dem September-Update für seine Pixel-Smartphones eine Sicherheitslücke geschlossen, die nach Angaben des Konzerns bereits in freier Wildbahn ausgenutzt wurde. Die unter dem Code CVE-2026-58704 geführte Schwachstelle steckt im Mobilfunkmodem der Geräte und wird von Google als „hoch“ eingestuft [1] [2]. Die US-Cybersicherheitsbehörde CISA hat die Lücke am 16. September in ihren Katalog bekanntermaßen ausgenutzter Sicherheitslücken aufgenommen [3].
Zero-Click-Lücke im Mobilfunkmodem
Laut der Beschreibung der National Vulnerability Database (NVD) handelt es sich um einen Logikfehler im Modem-Code, über den Angreifer die Zugriffsbeschränkungen umgehen und sich aus der Ferne mehr Rechte auf dem Gerät verschaffen konnten [1]. Besonders gravierend: Für eine erfolgreiche Ausnutzung ist weder eine zusätzliche Berechtigung noch eine Interaktion des Nutzers erforderlich – es handelt sich also um eine Zero-Click-Lücke [1] [2]. Die Attacke kann aus der unmittelbaren Umgebung des betroffenen Geräts erfolgen [2].
Die US-Behörde CISA bewertet die Schwachstelle mit einem CVSS-Score von 8,8 und stuft das Risiko als „hoch“ ein [3]. Google selbst nennt bislang weder einen konkreten Angreifer noch eine Gruppe hinter den beobachteten Attacken. Die Formulierung, wonach die Lücke nur „begrenzt und gezielt“ ausgenutzt werde, deutet darauf hin, dass es sich nicht um breit eingesetzte Malware handelt, sondern um gezielte Angriffe auf einzelne Nutzer [2].
Update schließt mehr als hundert Lücken
Das September-Update für Pixel-Smartphones, das den Patch-Level 2026-09-05 trägt, wird seit dem 15. September für insgesamt 21 Gerätetypen verteilt – von der Modellreihe Pixel 6 bis hin zum Pixel 10 [4]. Neben der aktiv ausgenutzten Modem-Lücke behebt die Aktualisierung zahlreiche weitere Schwachstellen, darunter mehrere als kritisch eingestufte Fehler in Modem, Telefonie, Bootloader, Trusted Execution Environment sowie Grafik- und Multimedia-Komponenten [2]. Einige dieser kritischen Lücken könnten unter bestimmten Voraussetzungen eine Ausführung von Schadcode oder eine Rechteausweitung ermöglichen [2].
Weil es sich um eine aktiv ausgenutzte Sicherheitslücke handelt, gehen weder Google noch die NVD ins Detail. Das soll verhindern, dass weitere Angreifer auf den Zug aufspringen und Geräte attackieren, die das Update noch nicht installiert haben [1].
Updates sollten jetzt zwingend erfolgen
Wer das Update bisher aufgeschoben hat, sollte es spätestens jetzt nachziehen. Das Auslösen der Aktualisierung ist mit wenigen Handgriffen erledigt: In den Einstellungen unter „System“ und „Softwareupdate“ sucht das Gerät nach verfügbaren Versionen. Finden sich keine neueren Softwarestände, ist das Gerät bereits geschützt [1].
Der Fall reiht sich ein in eine Serie von Sicherheitswarnungen, die CISA zuletzt ausgesprochen hat. Parallel zu den Pixel-Geräten warnte die Behörde vor Angriffen auf Ciscos Identity Services Engine sowie auf Acronis Backup für cPanel/WHM und Plesk [3]. Für IT-Verantwortliche und Admins gilt dabei dasselbe wie für Pixel-Nutzer: Updates zügig installieren und im Netz erreichbare Geräte auf mögliche Angriffe untersuchen [3].
Einordnung
Dass Google eine aktiv ausgenutzte Lücke erst nach dem Patch öffentlich macht, ist branchenüblich – zu groß wäre das Risiko, dass Angreifer die Details für weitere Attacken nutzen. Bemerkenswert ist gleichwohl die Kombination aus Zero-Click-Ausnutzbarkeit und Modem-Schwachstelle: Gerade Mobilfunkmodems gelten als besonders kritische Angriffsfläche, weil sie direkt mit dem Mobilfunknetz kommunizieren und nur schwer isoliert werden können. Dass die Angriffe bislang auf einen kleinen Kreis gezielter Opfer beschränkt blieben, dürfte für die allermeisten Nutzer beruhigend sein – ändert aber nichts daran, dass das Update umgehend installiert werden sollte.