CVE-2026-49881

highPriorität · verfolgen · 10EPSS 0.001 · 1. PerzentilExploit · PoCDEUS

grimoire priorityP1 · Urgent

Exploitable?

Public exploit

4 exploits · PoC

Likely / severe?

0.10% (1st) EPSS

CVSS 7.8 · high

Is it mine?

4 products

Prüfe deine Angriffsfläche

Who says so?

3 sources

osv · cert_bund · nvd

EPSS · bewertet 2026-10-27

In serviceClassExists of InCallController.java, there is a possible arbitrary code execution due to a logic error in the code. This could lead to local escalation of privilege with no additional execution privileges needed. User interaction is not needed for exploitation.

cvss

Technischer Schweregrad, 0–10. Eine Zeile je Quelle.

7.8

010

Basiswert 0–10 · höher = schwerwiegender · Vektor überfahren zum Auflösen

v3.17.8highCVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HsecondaryAusnutzbarkeit 1.8 · Auswirkung 5.9

v3.17.4highCVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H/E:Psecondary · CVSS-BT (t0sche)

SSVC

Eine Handlungsentscheidung — aus Ausnutzung und Auswirkung.

Exploitation: none · Automatable: no · Technical Impact: totalcoordinatorcisa_ssvcUS

schwächen

Die CWE-Schwächeklassen, zu denen dies gehört.

CWE-693US

Exploits (4)

Öffentlicher Proof-of-Concept- und Exploit-Code.

LSPosed/LSPromiseAndroid complete exploit chain that enables privilege escalation from a local untrusted app to root/kernel, combination of CVE-2026-49881 and CVE-2026-43284PoC · poc_in_github
Lewason/mhl-off-hook-writeupa challenge for a CVE-2026-49881PoC · poc_in_github
Supersonic/TLPECVE-2026-49881, using insecure context creation in Android 17's Telecom service to execute arbitrary code as UID 1000 system_server from an unprivileged appPoC · poc_in_github
cyb3r-w0lf/CVE-2026-49881cyb3r-w0lf/CVE-2026-49881PoC · poc_in_github

betroffene Produkte (4)

Betroffene Produkte und Versionsbereiche.

Dell Computeralle Versionencert_bundDEcpe:/o:dell:dell_computer:-
Google Android <2026-09-01alle Versionencert_bundDE
Google Android< 2026-09-01cert_bundDE
google android= 17.0nvdUScpe:2.3:o:google:android:*:*:*:*:*:*:*:*

Advisories (2)

Hersteller- und Ökosystem-Meldungen dazu.

WID-SEC-W-2026-3251Android Patchday September 2026: Mehrere SchwachstellenDeutsch2026-09-08csaf · cert_bundDE
Ein Angreifer kann mehrere Schwachstellen in Google Android ausnutzen, um beliebigen Code auszuführen, Berechtigungen zu erweitern, vertrauliche Informationen offenzulegen oder Denial-of-Service-Zustände herbeizuführen.
ASB-A-5011552442026-09-01vendor · osvUS
In serviceClassExists of InCallController.java, there is a possible arbitrary code execution due to a logic error in the code. This could lead to local escalation of privilege with no additional execution privileges needed. User interaction is not needed for exploitation.

auch bekannt als (1)

Weitere Namen und Kennungen dieser Entität.

A-501155244osv

quellen

Welche Quellen diesen Datensatz belegen und wann.

osv cert_bund nvd NVD CVE.org MITRE

veröffentlicht 2026-09-08geändert 2026-09-23

Referenzen (1) nvd

Externe Belege — Patches, Meldungen, Analysen.

https://source.android.com/docs/security/bulletin/2026/2026-09-01Vendor Advisory

scry

Angreifer nutzen Schwachstellen wie diese gegen im Internet exponierte Dienste aus. Sehen Sie mit einem kostenlosen Passiv-Scan, was exponiert ist.

Kostenloser Scan