Android Juni 2026: Google schließt 124 Lücken, 18 kritisch

Sicherheitsforscher warnen vor DroidLock-Ransomware, Werbe-Trojanern und gezielten NFCShare-Angriffen auf Bankkunden.

Von raffinierter Erpressungssoftware bis hin zu Sicherheitslücken in beliebten Reise-Apps – die Angriffsvektoren werden vielfältiger.

Anzeige

Banking, WhatsApp und persönliche Fotos – auf keinem Gerät speichern wir so viele sensible Daten wie auf dem Smartphone. Dieser kostenlose Ratgeber zeigt Ihnen, wie Sie Ihr Android-Gerät mit 5 einfachen Schritten effektiv vor Hackern und Viren absichern. 5 sofort umsetzbare Schutzmaßnahmen entdecken

DroidLock: Wenn das eigene Smartphone zur Geisel wird

Die Sicherheitsexperten von Zimperium zLabs haben eine neue Android-Erpressungssoftware namens DroidLock entdeckt. Anders als klassische Ransomware verschlüsselt DroidLock keine Dateien – sie übernimmt die vollständige Kontrolle über das Gerät. Derzeit verbreitet sich der Schädling über Phishing-Webseiten, die vor allem Nutzer in Spanien im Visier haben.

Die Malware kann den PIN-Code ändern, das Gerät auf Werkseinstellungen zurücksetzen, den Bildschirm live übertragen und Fotos machen. Insgesamt stehen den Angreifern 15 verschiedene Befehle zur Verfügung. Besonders perfide: DroidLock nutzt eine doppelte Overlay-Mechanik, um sowohl Sperrmuster als auch Anmeldedaten von Apps zu stehlen. Zwar verschlüsselt die Software keine lokalen Daten, sie kann aber sämtliche Informationen auf dem Gerät löschen.

Veraltete Bibliothek gefährdet Reise-Apps

In einem zweiten Fund warnte Zimperium zLabs vor tausenden Android-Apps, die eine veraltete Version der Mapbox-Bibliothek verwenden. Die Datei libmapbox-gl.so ist seit 2023 veraltet und enthält bekannte Sicherheitslücken.

Eine Analyse des Google Play Store ergab: 40 Prozent der betroffenen Apps gehören zu den Top 20 ihrer Kategorie. Darunter finden sich bekannte Reise-, Flug- und Wetter-Apps. Zwar gibt es bislang keine Hinweise auf aktive Angriffe, doch Sicherheitsexperten drängen die Entwickler zum Umstieg auf Mapbox Maps SDK v10 oder die Open-Source-Alternative MapLibre.

MagicAd: Trojaner tarnt sich als System-App

Ein neu entdeckter Werbe-Trojaner namens Android.MagicAd.1 wurde in over 50 Apps im Xiaomi GetApps Store und im Samsung Galaxy Store gefunden. Die Malware überschwemmt Geräte mit Werbung im Hintergrund – und umgeht dabei die Sicherheitsbeschränkungen von Android.

Der Trick: MagicAd nutzt eine sogenannte „Translucent Activity", um Werbung anzuzeigen, ohne die üblichen Overlay-Berechtigungen zu benötigen. Die Schadsoftware manipuliert gezielt System-Apps wie Xiaomis Mi Browser und SystemUI, Vivos iManager sowie den Startbildschirm von Amazon Fire TV. Um der Entdeckung zu entgehen, prüft MagicAd die Umgebung auf virtuelle Maschinen oder blockierte Konfigurationen, bevor sie ihren Schadcode ausführt.

Anzeige

Ein veraltetes Smartphone ist wie eine offene Haustür für Cyberkriminelle, die Sicherheitslücken gnadenlos ausnutzen. Erfahren Sie in diesem kostenlosen Experten-Report, wie Sie durch die richtigen Updates und Einstellungen Datenverlust und Malware dauerhaft verhindern. Kostenlosen Android-Sicherheitsratgeber herunterladen

Google schließt 124 Sicherheitslücken

Als Reaktion auf die wachsende Bedrohungslage hat Google das Android-Sicherheitsupdate für Juni 2026 veröffentlicht. Es schließt 124 Schwachstellen in den Versionen 14 bis 16, davon 18 als kritisch eingestufte Lücken.

Besonders brisant: Die Sicherheitslücke CVE-2025-48595 wird bereits für gezielte Angriffe genutzt. Dieser Integer Overflow im Framework ermöglicht eine lokale Rechteausweitung und erreicht einen CVSS-Score von 8,4. Ebenfalls geschlossen wurde CVE-2026-0059 – ein Bluetooth-Heap-Overflow, der eine Code-Ausführung aus der Ferne ohne Nutzerinteraktion erlaubt. Während Pixel-Geräte die Updates bereits seit dem 1. Juni erhalten, sollen andere Hersteller in den kommenden Wochen nachziehen.

NFCShare-Kampagne zielt auf europäische Bankkunden

Seit dem 14. Mai 2026 läuft eine intensive Kampagne mit der NFCShare-Malware gegen Bankkunden in Italien und Spanien. Die Angreifer nutzen ein GitHub-Repository namens „app-scuola", um 56 schadhafte APKs zu verteilen, die als Banking-App-Updates getarnt sind.

Im Visier stehen Kunden von Instituten wie Intesa, Sella, Nexi und CaixaBank. Die Malware greift über die IsoDev-Schnittstelle und EMV-Befehle auf die NFC-Funktion des Geräts zu, um Zahlungskartendaten zu stehlen. Die Angreifer setzen auf manipulierte ZIP-Pfade und spezielle APK-Verpackungen, um automatisierte Analysetools auszutricksen. Der eigentlichen Malware-Installation gehen klassische Phishing-Versuche voraus, bei denen die Opfer auf gefälschte Login-Seiten gelockt werden.