Android-Lücke „SMS des Todes“ lässt Telefone abstürzen und kappt Notrufe

Eine neu entdeckte Android-Schwachstelle erlaubt es Angreifern, das Telefon eines Opfers zum Absturz zu bringen und laufende Anrufe zu unterbrechen – einschließlich Notrufen – und das mit einer einzigen, speziell präparierten SMS. Die Lücke, registriert als CVE-2026-58882 und „SMS des Todes“ getauft, erfordert keinerlei Interaktion des Opfers: Die bösartige Nachricht richtet ihren Schaden an, bevor sie überhaupt im Posteingang landet, wie BleepingComputer zuerst berichtete.

Der Sicherheitsforscher Mark Blaszczyk entdeckte den Fehler in der Android-Komponente WapPushOverSms, die über das Mobilfunknetz gesendete WAP-Push-Nachrichten verarbeitet. Der Code liest den Header-Längenwert einer Nachricht aus und konvertiert ihn, ohne ihn zu validieren. Eine Fünf-Byte-Sequenz kann diese Konvertierung dazu zwingen, eine negative Zahl zu erzeugen, was bei der Speicherzuweisung eine NegativeArraySizeException auslöst. Diese Ausnahme bringt com.android.phone zum Absturz, den Systemprozess, der für Anrufe und Telefonie zuständig ist. Blaszczyk berichtete von einer Reproduktionsrate von 100 Prozent auf Testgeräten von Google Pixel und Samsung Galaxy.

Gefährlich macht diesen Angriff seine vollständige Unsichtbarkeit. Die bösartige Nachricht verbleibt in Androids Warteschlange für ausstehende Nachrichten statt im sichtbaren Posteingang, sodass das Opfer weder eine Benachrichtigung noch eine Absendernummer noch einen erkennbaren Grund für den Absturz sieht. Die Telefonie startet normalerweise innerhalb von ein bis zwei Sekunden neu, doch Mobilfunkanbieter können eine unbestätigte Nachricht erneut senden und damit den Absturz-Zyklus wiederholen. Laut Blaszczyk können etwa 20 bösartige Nachrichten ein Gerät für längere Zeit praktisch unbrauchbar machen, da jeder Neustartversuch denselben verseuchten Eintrag in der Warteschlange erneut einliest.

Blaszczyk meldete die Schwachstelle am 5. Mai 2026 vertraulich an Google, das am 15. Juni 2026 einen technischen Fix freigab. Statt den Vorschlag des Forschers umzusetzen, die Header-Länge direkt zu validieren, kapselte Google die Dekodierroutine in eine umfassendere Ausnahmebehandlung, die den Absturz abfängt und die fehlerhafte Nachricht aus der Warteschlange löscht. Dieser Fix wurde mit dem Android-Sicherheitsupdate vom Oktober 2026 für Android 14 bis 17 ausgeliefert – Android 12 und 13, die beide noch nicht das Support-Ende erreicht haben, gingen dabei leer aus und bleiben verwundbar. CVE-2026-58882 tauchte zudem nicht in Googles öffentlichem Oktober-Bulletin auf.

Diese Lücke ist nicht klein. Laut den aktuellsten Versionsanteil-Daten von StatCounter machen Android 12 und 13 zusammen rund ein Viertel aller aktiven Android-Geräte weltweit aus – die verwundbare Gerätezahl liegt damit im Bereich mehrerer hundert Millionen. GrapheneOS, der auf Privatsphäre ausgerichtete Android-Fork, teilte mit, sein Fix werde mit dem Sicherheitsbulletin im November ausgeliefert. Besitzer ungepatchter Geräte haben bis zur Veröffentlichung des Updates durch Hersteller oder Mobilfunkanbieter keine softwareseitige Abwehr; ein in der Absturzschleife gefangenes Telefon lässt sich nur retten, indem man entweder die Schleife aussitzt oder mit Android Debug Bridge die bösartige Nachricht manuell entfernt – ein Schritt, der für die meisten Nutzer außer Reichweite liegt.

Für Mobilfunkanbieter und Unternehmens-IT ist die Lücke eine Erinnerung daran, dass WAP Push, ein jahrzehntealter SMS-Zustellmechanismus, der weiterhin für Provisioning und Betreibernachrichten genutzt wird, auf modernen Telefonen eine aktive Angriffsfläche bleibt. Bis die Patches flächendeckend verteilt sind, bleiben Nutzer älterer Android-Versionen auf netzbetreiberseitige Filterung statt auf Schutz direkt auf dem Gerät angewiesen – eine Lücke, die Angreifer massenhaft gegen Telefone ausnutzen können, die nie ein Update erhalten werden.