Google hat im Mai 2025 ein Sicherheitsupdate für Android veröffentlicht und dabei insgesamt fünfzig Schwachstellen behoben. Besonders ins Auge fällt die Sicherheitslücke CVE-2025-27363, die bereits aktiv von Angreifer*innen ausgenutzt wird. Sie betrifft die Open-Source-Bibliothek Freetype, die für die Textdarstellung auf vielen Geräten zuständig ist. Die Lücke erlaubt es, Schadcode aus der Ferne auszuführen – ganz ohne Zutun der Nutzenden.
Android unter Beschuss
Grundlage der Schwachstelle ist ein sogenannter Out-of-Bounds-Write-Fehler. Betroffen sind alle Versionen der Freetype-Bibliothek bis einschließlich 2.13.0. In der Praxis kann dieser Fehler dazu führen, dass Programme abstürzen oder sich Schadcode auf dem Gerät einschleusen lässt. Facebook hatte bereits im März auf das Problem hingewiesen – ein früher Warnhinweis auf die Brisanz.
Die Sicherheitslücke könne „zu einer lokalen Rechteausweitung ohne zusätzliche Ausführungsberechtigungen führen“, betonte auch das Android Open Source Project selbst in seinem aktuellen Sicherheitsbulletin. „Für die Ausnutzung ist keine Nutzerinteraktion erforderlich.“
Mit einem Wert von 8,1 im Common Vulnerability Scoring System (CVSS) gilt die Lücke der US-amerikanischen National Vulnerability Database (NVD) zufolge als besonders schwerwiegend. Angriffe erfolgen über das Netzwerk, ohne dass Angreifende vorher Zugriff auf das Gerät haben oder Nutzer*innen etwas bestätigen müssen. Zwar ist die technische Umsetzung des Angriffs komplex, dennoch stellt die Lücke ein ernstes Risiko dar – insbesondere solange keine Updates installiert wurden.
Auch interessant: Sofort löschen: 13 Apps sind laut Experten „gefährlich“
Update bald verfügbar
Neben CVE-2025-27363 wurden weitere Schwachstellen mit hohem Schweregrad behoben. Eine als kritisch eingestufte Lücke ist diesmal allerdings nicht dabei. Betroffen sind nicht nur Android-Komponenten selbst, sondern auch Bauteile von Drittanbietern wie Qualcomm, MediaTek, Arm und Imagination Technologies. Im Gegensatz zu den Monaten März und April, in denen Google deutlich mehr kritische Schwachstellen geschlossen hatte, fällt das Mai-Update etwas weniger alarmierend aus – zumindest auf den ersten Blick.
Die Verteilung der Sicherheitsupdates erfolgt wie gewohnt über die Gerätehersteller. Während einige Modelle die Patches innerhalb weniger Tage erhalten, kann es bei anderen Wochen oder gar Monate dauern. Geräte, die bereits aus dem Support gefallen sind, bleiben meist dauerhaft angreifbar. Für viele Nutzende bedeutet das, dass sie auch nach Bekanntwerden der Lücken längere Zeit ungeschützt bleiben.
Sobald ein Update verfügbar ist, sollte es unbedingt installiert werden. Zusätzliche Sicherheits-Apps können helfen, den Schutz zu verbessern. Auch ein wachsames Auge auf verdächtiges Verhalten lohnt sich. Wer auf solche Warnzeichen achtet, kann Angriffe frühzeitig erkennen und reagieren.
Auch interessant: Android-Update: So anders soll dein Smartphone bald aussehen
Quellen: Facebook; Android Open Source Project; National Vulnerability Database
Seit dem 24. Februar 2022 herrscht Krieg in der Ukraine. Hier kannst du den Betroffenen helfen.