Samsung Galaxy: Ein präpariertes Bild kann fremden Code starten

Der koreanische Hersteller hat sein Sicherheitspaket für den laufenden Monat am 8. September verteilt, das Security Maintenance Release SMR Sep-2026 Release 1 mit insgesamt 90 Korrekturen. Zwei davon stuft Samsung selbst als kritisch ein. Beide sitzen an derselben Stelle, nämlich in dem Code, der auf deinem Galaxy Bilddateien entpackt und anzeigt.

Die Einträge heißen SVE-2026-3247 und SVE-2026-3282, offiziell CVE-2026-21095 und CVE-2026-21096. Der erste betrifft den DNG-Decoder, der zweite den JPEG-Decoder. Beide liegen in der Bibliothek libimagecodec.quram.so, die Samsung seit Jahren für die Bildverarbeitung einsetzt. Ein DNG ist ein Rohdatenformat für Fotos, wie es viele Kameras und auch Smartphones erzeugen. Samsung beschreibt beide Fehler als Heap-based Buffer Overflow, also als Überlauf im dynamischen Speicher, der Angreifern aus der Ferne die Ausführung von beliebigem Code erlaubt. Betroffen sind Android 14, 15, 16 und 17.

Warum das schwerer wiegt als eine gewöhnliche Patchzeile

Der offizielle CVE-Eintrag, den Samsung selbst eingereicht hat, vergibt 9,2 von 10 möglichen Punkten. Aussagekräftiger als die Zahl ist der Vektor dahinter. Dort steht UI:N, was bedeutet, dass für einen Angriff keine Handlung des Nutzers nötig ist. Kein Tippen auf eine Datei, kein Bestätigen. Es genügt, dass das Gerät ein präpariertes Bild verarbeitet. Im selben Vektor steht allerdings auch AT:P, es müssen also zusätzliche Bedingungen erfüllt sein, damit ein Angriff durchgeht.

Gefunden haben die beiden Fehler Brendon Tiszka und Mateusz Jurczyk von Google Project Zero, Samsung führt sie in den Danksagungen des Bulletins auf. Bei beiden Einträgen steht "Privately disclosed", es gibt bislang also keine Hinweise auf Angriffe. Der Patch selbst fällt unspektakulär aus. Samsung schreibt dazu nur, er ergänze eine ordentliche Prüfung der Eingabedaten.

Dieselbe Bibliothek trug schon einmal Spyware

Bemerkenswert ist der Ort. libimagecodec.quram.so war 2025 das Einfallstor für eine kommerzielle Spionagesoftware namens Landfall. Die Sicherheitsforscher von Palo Alto Networks Unit 42 dokumentierten damals, dass Angreifer manipulierte DNG-Dateien über WhatsApp verschickten und dafür keinen Klick des Opfers brauchten. Samsung schloss die damals genutzte Lücke CVE-2025-21042 im April 2025, die US-Behörde CISA nahm sie im November in ihren Katalog aktiv ausgenutzter Schwachstellen auf. Die bekannten Ziele lagen im Irak, im Iran, in der Türkei und in Marokko.

Die jetzt geschlossenen Fehler sind andere Lücken. Sie sitzen aber im selben Bauteil und betreffen dasselbe Dateiformat, was zeigt, wie viel Angriffsfläche dieser Decoder weiterhin bietet.

So prüfst du deinen Patchstand

Unter Einstellungen, Software-Update, Softwareinformationen findest du die Zeile Sicherheitspatch-Ebene. Steht dort ein Datum aus dem September 2026, hast du das Paket bereits. Bei August oder früher hilft ein Tippen auf Herunterladen und installieren.

Samsung verteilt solche Pakete zuerst an die aktuellen Spitzenmodelle, ältere Geräte folgen über Wochen. Dieses Muster war schon beim Juli-Update zu sehen. Wie weit ein Monatspatch bei Samsung tatsächlich reicht und wo er unterwegs hängen bleibt, haben wir uns am Samsung Internet Browser angesehen.

Von den 90 Korrekturen stammen 58 aus Googles Android-Bulletin, davon 18 kritische und 40 hoch eingestufte. Eine Korrektur kommt von Samsung Semiconductor, die übrigen 31 hat Samsung Mobile selbst beigesteuert. Wie das monatliche Android-Paket entsteht und warum einzelne Lücken es trotzdem lange in die Geräte schaffen, steht in unserem Bericht zum Juni-Bulletin.