Google Android: Rechteerweiterung in der Pixel-Komponente hwmgr
Zusammenfassung
Googles Pixel Update Bulletin vom November 2026 führt CVE-2026-58785 als Rechteerweiterung (Elevation of Privilege) in der Komponente hwmgr von Pixel-Geräten auf. Ursache sind nicht initialisierte Daten in update_user_consent. Ein Angreifer, der bereits über System-Berechtigungen auf dem Gerät verfügt, kann damit seine Rechte weiter erhöhen. Für die Ausnutzung ist keine Benutzerinteraktion nötig, und bisher wurde keine Ausnutzung gemeldet.
Betroffen
- Google-Pixel-Geräte mit einem Sicherheitspatch-Level vor 2026-11-05
- Komponente: hwmgr (Pixel-Bulletin-Eintrag A-527169381)
- Betroffene Gerätemodelle: Unbekannt.
Behoben in
- Sicherheitspatch-Level 2026-11-05 oder neuer (Pixel Update Bulletin, November 2026)
- Exakte Build-Nummern: Unbekannt.
Umgehung
Unbekannt.
Ausnutzung
- CISA SSVC (offizieller CVE-Eintrag): Ausnutzung keine, nicht automatisierbar, totale technische Auswirkung
- In den geprüften Quellen wurde keine aktive Ausnutzung gefunden
- Laut einem Drittanbieter-Aggregator nicht im CISA-KEV-Katalog gelistet
Unsere Empfehlung
- Alle firmenverwalteten Pixel-Geräte auf Sicherheitspatch-Level 2026-11-05 oder neuer aktualisieren
- Das Patch-Level in den Geräteeinstellungen prüfen und Geräte mit älterem Stand erfassen
- App-Installation und lokalen Zugriff auf verwalteten Geräten einschränken, um das Risiko eines Fuss- bzw. Einstiegspunkts für Angreifer zu verringern
- Geräte ersetzen oder isolieren, die keine Sicherheitsupdates mehr erhalten
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Pixel Update Bulletin – November 2026 source.android.com
- CVE Record CVE-2026-58785 www.cve.org
- OSV entry PUB-A-527169381 osv.dev
- Threat intelligence summary CVE-2026-58785 cve.threatint.com
- Strix CVE-2026-58785 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 11:24.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.