Android: September-Update schließt kritische Sicherheitslücken

Google hat das Android-Sicherheitsupdate für September 2025 veröffentlicht. Während in den letzten Monaten die Patches recht überschaubar waren, schließt das September-Update ganze 120 Schwachstellen. Besonders im Fokus stehen zwei bereits aktiv ausgenutzte Zero-Day-Lücken. Das Update wird in zwei Patch-Levels bereitgestellt und betrifft Android-Versionen 13 bis 16.

Besonders hervorzuheben sind die Schwachstellen CVE-2025-38352 und CVE-2025-48543, die den Android-Kernel und die Android Runtime betreffen. Diese erlauben unbefugte Rechteerhöhungen und wurden bereits gezielt ausgenutzt. Google spricht von begrenzter und gezielter Ausnutzung, nennt aber keine weiteren Details.

Außerdem gibt es im System eine als kritisch eingestufte Lücke. Die Schwachstelle CVE-2025-48539 ermöglicht es Angreifern, ohne Nutzerinteraktion Schadcode über Bluetooth oder WLAN einzuschleusen.

Wie üblich werden die Updates in zwei Patchlevels bereitgestellt. Patch-Level 2025-09-01 betrifft allgemeine Android-Komponenten wie Framework oder System, während das Patch-Level 2025-09-05 Schwachstellen in speziellen Hardware-Komponenten, behebt. Entsprechend ist es nur für diejenigen Geräte relevant, die diese Komponenten verbaut haben. In diesem Update werden 32 Schwachstellen in Qualcomm-Komponenten geschlossen und weitere in Komponenten von ARM, Imagination Technologies und MediaTek.

Insgesamt vier der Schwachstellen wurden als kritisch eingestuft, alle anderen als hoch. Entsprechend wird es Android-Nutzern dringend geraten, ihre Geräte zu aktualisieren, sobald das Sicherheits-Update von den Herstellern bereit gestellt wird.