„SMS des Todes“: Eine SMS legt Android-Smartphones lahm

Der Sicherheitsforscher Mark Blaszczyk hat am Donnerstag eine Lücke in Android öffentlich gemacht, die er „SMS des Todes“ nennt. Betroffen sind laut seinen Tests die Versionen 12 bis 17. Schon eine einzige fehlerhafte WAP-Push-SMS genügt, um den Telefoniedienst com.android.phone abstürzen zu lassen. Blaszczyk spricht von einem ferngesteuerten Zero-Click-Denial-of-Service-Angriff mit anhaltender Wirkung.

Reboot-Schleife statt Posteingang

Ursache ist ein ungeprüfter Typecast im WSP-Header: Ein manipulierter Längenwert wird zur negativen Arraygröße und löst eine unbehandelte NegativeArraySizeException aus. Aktive Anrufe, auch Notrufe, brechen ab. Die Nachricht erscheint nicht im Posteingang, der Angriff bleibt für Betroffene unsichtbar.

Danach startet das Gerät etwa alle 90 Sekunden neu und zeigt im Recovery-Modus die Aufforderung, die Daten zu löschen. Wer dort „Wipe data“ wählt, verliert alle Daten. Rund 20 solcher Nachrichten reichen laut dem Forscher, um ein Smartphone dauerhaft unbrauchbar zu machen. In seinen Tests hielt eine einzige SMS bis zu einer Woche Ausfälle aufrecht, weil Netzbetreiber unbestätigte Nachrichten erneut zustellen.

Auch in Deutschland verbreitete Geräte betroffen

Reproduzieren konnte Blaszczyk den Fehler unter anderem auf einem Pixel 9 und mehreren Samsung-Galaxy-Modellen, die auch in Deutschland stark verbreitet sind. Die Lücke trägt die Kennung CVE-2026-58882. Er meldete sie am 5. Mai, Google schloss den Bericht zunächst als „Will Not Fix“. Der Fix wurde im August eingecheckt und im Oktober ins AOSP übertragen.

Für Android 14 bis 17 existiert ein Patch, der im November-Bulletin als kritisch geführt werden soll. Android 12 und 13 erhalten keine Sicherheitsupdates mehr und bleiben angreifbar, solange Hersteller nicht selbst nachliefern. Betroffene müssen das Gerät über die Android Debug Bridge am PC retten.

Quellen

heise security: „SMS des Todes“: Sicherheitslücke lässt Android-Smartphones abstürzen (30. Oktober 2026)

Hinweis: Dieser Beitrag wurde mit Unterstützung künstlicher Intelligenz (KI) erstellt.