Google stoppt aktiven Spyware-Exploit im Android-Framework

Das Sicherheitsupdate für Juni 2026 behebt 124 Android-Schwachstellen, darunter die bereits für zielgerichtete Angriffe genutzte Lücke CVE-2025-48595.

Der US-amerikanische Technologiekonzern Google hat die monatlichen Sicherheitsupdates für das Betriebssystem Android für den Monat Juni 2026 freigegeben. Im Mittelpunkt dieser Aktualisierungen steht das Schließen einer kritischen Zero-Day-Schwachstelle, die nach Erkenntnissen des Herstellers bereits aktiv im Rahmen von zielgerichteten Angriffen im Internet ausgenutzt wird. Der Fehler wird unter der offiziellen Kennung CVE-2025-48595 geführt und ist als Sicherheitsrisiko mit hoher Priorität eingestuft. Betroffen von diesem Defizit sind alle Mobilgeräte, auf denen die Betriebssystemversion Android 14 oder eine neuere Variante ausgeführt wird.

Die Schwachstelle befindet sich im sogenannten Android Framework, einer zentralen Softwarekomponente, die grundlegende Funktionen, Programmierschnittstellen und Systemdienste für Anwendungen bereitstellt. Lokale Angreifer, die bereits einen minimalen Zugriff auf das Gerät besitzen, können diesen Pufferfehler oder Logikdefekt gezielt ausnutzen, um ohne vorherige Autorisierung beliebigen Schadcode auszuführen und ihre Berechtigungen auf dem infizierten System bis auf die höchste Verwaltungsebene auszuweiten.

Google bestätigte das Vorhandensein laufender Ausnutzungsversuche in seinem offiziellen Sicherheitsbulletin mit den Worten: „Es gibt Hinweise darauf, dass CVE-2025-48595 unter begrenzter, zielgerichteter Ausnutzung stehen könnte,“. Technische Spezifikationen zu den beteiligten Angreifern oder den genauen Opferstrukturen wurden aus Sicherheitsgründen zunächst nicht veröffentlicht. In der Vergangenheit wurden vergleichbare Framework-Lücken primär von kommerziellen Spyware-Anbietern oder staatlich gelenkten Akteuren genutzt, um gezielt hochkarätige Zielpersonen, Journalisten oder politische Entscheidungsträger lückenlos zu überwachen.

Kritische Fehler im Framework und Qualcomm-Komponenten

Neben der genannten Zero-Day-Lücke umfasst das umfassende Juni-Paket Korrekturen für 18 als kritisch eingestufte Schwachstellen. Diese verteilen sich auf das Android-System, das Framework sowie auf proprietäre Closed-Source-Komponenten des Chipherstellers Qualcomm. Ungepatchte Geräte sind dem akuten Risiko ausgesetzt, dass Angreifer diese softwareseitigen Mängel ausnutzen, um unbefugte Privilegienerweiterungen zu erzwingen oder gezielte Denial-of-Service-Zustände auszulösen, welche das Smartphone vollständig zum Absturz bringen und blockieren.

Das schwerwiegendste der behobenen Probleme betrifft eine kritische Schwachstelle im Framework-Subsystem, die eine Remoteberechtigungserweiterung ermöglicht. Für die erfolgreiche Ausnutzung dieses spezifischen Fehlers sind keinerlei zusätzliche Ausführungsrechte auf dem mobilen Endgerät erforderlich. Zudem ist absolut keine Interaktion durch den Endanwender notwendig, was die Bedrohungslage für sensible Unternehmensinfrastrukturen verschärft, da Infektionen vollständig unbemerkt im Hintergrund ablaufen können, ohne dass der Nutzer eine manipulierte Datei öffnen oder einen Link anklicken muss.

Veröffentlichung der gestaffelten Patch-Ebenen

Google folgt bei der Verteilung der monatlichen Sicherheitsupdates seiner etablierten Struktur und stellt zwei unterschiedliche Patch-Ebenen zur Verfügung, die als Sicherheits-Patch-Level 2026-06-01 und 2026-06-05 bezeichnet werden. Die erste Stufe vom 1. Juni konzentriert sich auf die universellen Open-Source-Komponenten des Android-Kernbetriebssystems und behebt die primären Framework- und Systemfehler. Die erweiterte zweite Stufe vom 5. Juni akkumuliert sämtliche Korrekturen der ersten Welle und ergänzt diese um spezifische Fehlerbehebungen für herstellerspezifische Kernel-Treiber sowie Closed-Source-Komponenten von Drittanbietern.

Diese Aufteilung ermöglicht es den verschiedenen Smartphone-Herstellern, die Updates flexibler an ihre jeweiligen Hardwarekonfigurationen anzupassen. Während Endanwender, die ein Google-Pixel-Gerät nutzen, die Juni-Aktualisierungen unmittelbar über die Systemeinstellungen herunterladen können, müssen Besitzer von Geräten anderer Marken wie Samsung, Xiaomi oder OnePlus mit herstellerabhängigen Verzögerungen rechnen, da die Implementierung und Verifikation des Codes für die eigenen Benutzeroberflächen zusätzliche Testzyklen erfordert.

Anpassungen beim Android-Sicherheits-Prämienprogramm

Der aktuelle Vorfall reiht sich in eine Serie von Zero-Day-Entdeckungen ein, die Google in den vergangenen Monaten schließen musste. Bereits im Dezember wurden zwei schwerwiegende Fehler unter den Kennungen CVE-2025-48633 und CVE-2025-48572 korrigiert, gefolgt von einer Schwachstelle in einer Qualcomm-Anzeigekomponente im März 2026, die ebenfalls als aktiv ausgenutzt markiert war. Um dem anhaltenden Druck durch professionelle Exploit-Händler auf dem grauen Markt entgegenzuwirken, hat Google im vergangenen Monat grundlegende strukturelle Änderungen an seinen Sicherheits-Prämienprogrammen für Android und den Chrome-Browser vorgenommen.

Das Unternehmen erhöhte die maximalen Auszahlungsbeträge für das Aufdecken besonders kritischer Android-Exploits auf bis zu 1,5 Millionen US-Dollar. Im Gegenzug wurden die finanziellen Belohnungen für einfachere Softwarefehler, die sich mithilfe von Werkzeugen der künstlichen Intelligenz automatisiert aufspüren lassen, spürbar reduziert. Damit versucht der Technologiekonzern, den Fokus der weltweiten Sicherheitsforschung gezielt auf hochkomplexe, architektonische Schwachstellen zu lenken, die eine unmittelbare Bedrohung für die Integrität des gesamten mobilen Ökosystems darstellen.