Android „SMS of Death“: Eine unsichtbare SMS legt das Handy lahm, Android 12 und 13 bleiben offen
CVE-2026-58882: Eine präparierte SMS bringt den Android-Telefondienst zum Absturz, auch während Notrufen. Exploit-Code ist öffentlich. Android 14 bis 17 sind gepatcht, Android 12 und 13 voraussichtlich nicht.
Eine einzige präparierte SMS reicht, um ein Android-Handy aus der Ferne lahmzulegen. Der Sicherheitsforscher Mark Blaszczyk hat die Lücke „SMS of Death“ getauft und einen Proof-of-Concept veröffentlicht, also funktionierenden Demonstrationscode. Die Kennung ist CVE-2026-58882. Auf X und im WhatsApp-Kanal habe ich kurz geschrieben: „gepatcht, Update installieren“. Das stimmt, ist aber nur die halbe Wahrheit. Inzwischen ist mehr bekannt, und gerade für ältere Geräte ist die Lage unangenehmer.
Was passiert ist
Der Fehler steckt im Telefondienst com.android.phone, der bei Android Mobilfunk, Anrufe und SMS verwaltet. Bei einer bestimmten Sorte SMS, einer sogenannten WAP-Push-Nachricht (Steuernachrichten, die Netzbetreiber z. B. für Konfigurationsdaten nutzen), wird ein Längenwert im Header nicht geprüft. Ein manipulierter Wert wird zu einer negativen Arraygröße, der Dienst wirft eine unbehandelte Ausnahme und stürzt ab. So beschreiben es BleepingComputer und heise.
Das ist ein Zero-Click-Angriff: Das Opfer muss nichts anklicken. Android verarbeitet die Nachricht, bevor sie im Posteingang landen würde. Man sieht also gar nichts, nur die Folgen:
- Die Mobilfunkverbindung bricht weg, laufende Anrufe fallen aus. Das gilt auch für Notrufe.
- Netzbetreiber stellen unbestätigte Nachrichten erneut zu. Laut heise hat eine einzige SMS in Tests bis zu eine Woche lang Ausfälle verursacht.
- Mit rund 20 solcher Nachrichten geriet ein Gerät in eine Neustartschleife, etwa alle 90 Sekunden. Der Wiederherstellungsmodus bietet dann an, die Daten zu löschen.
Reproduziert wurde das laut heise auf einem Pixel 9 und auf mehreren Samsung-Galaxy-Geräten. Es geht um Verfügbarkeit, nicht um Datendiebstahl. Hinweise auf echte Angriffe nennt keine der Quellen. Weil der Code aber öffentlich ist, ist die Hürde für Nachahmer niedrig.
Was sich seit meinem Post geändert hat
Nicht alle Versionen sind gepatcht. Google hat die Korrektur („Fix remote DoS in decodeWapPdu“) mit den Oktober-Updates 2026 für Android 14 bis 17 ausgeliefert. Laut GrapheneOS war der Fix schon ab Juli in Sicherheitsvorschauen für Hersteller enthalten. Für Android 12 und 13 wird es voraussichtlich keinen Fix geben, weil Google diese Versionen nicht mehr unterstützt. Bei der Frage, welche Versionen genau betroffen sind, nennen die Quellen mal 12 bis 16, mal 12 bis 17.
Im Oktober-Bulletin taucht die Lücke nicht auf. Laut heise und eSecurityPlanet soll sie im November-Bulletin stehen, Google stuft sie als kritisch ein. Das November-Bulletin war heute noch nicht online. Einen CVSS-Wert (die Standardskala für den Schweregrad) gibt es bisher nicht.
Holprige Vorgeschichte. Blaszczyk hat Google am 5. Mai informiert. Laut heise wurde der Bericht zunächst als „Will Not Fix“ geschlossen. GrapheneOS hält das für eine interne Kommunikationspanne. Behoben wurde nur die Fehlerbehandlung: Der Dienst fängt die Ausnahme jetzt ab und löscht die schadhafte Nachricht. Die vom Forscher vorgeschlagene Prüfung des Längenwerts kam nicht.
Was du tun solltest
- Update installieren und neu starten. Unter Einstellungen → Sicherheit bzw. „Über das Telefon“ steht der Sicherheitspatch-Stand. Bei Android 14 bis 17 sollte dort mindestens Oktober 2026 stehen. Wann das Update kommt, entscheiden Hersteller und Netzbetreiber, nicht Google.
- Android 12 oder 13? Prüf, ob dein Gerät noch ein Upgrade auf eine neuere Version bekommt. Wenn nicht, hilft keine Einstellung: Laut Berichten lässt sich WAP Push nicht abschalten, und Vorsicht bei verdächtigen Nachrichten nützt nichts, wenn man die Nachricht nie sieht. Dann ist es Zeit für ein neues Gerät, vor allem wenn das Handy für Notfälle gedacht ist, etwa bei älteren Angehörigen.
- Gerät hängt in der Neustartschleife? Im Wiederherstellungsmodus nicht „Daten löschen“ wählen, sonst ist alles weg. Laut Forscher lassen sich die Nachrichten per ADB (Android Debug Bridge, ein Werkzeug zur Steuerung des Handys vom PC aus) entfernen. Das braucht einen Rechner und etwas Erfahrung. Wer das nicht kann, holt sich Hilfe, statt das Gerät zurückzusetzen.
Meine Einordnung
Ein reiner Absturz klingt harmlos, bis man an Notrufe denkt. Die eigentliche Schwachstelle ist aber das Update-Modell von Android: Google behebt den Fehler, und Millionen Geräte mit Android 12 und 13 bleiben trotzdem dauerhaft angreifbar. Wer ein Android-Handy kauft, sollte vorher nachsehen, wie lange der Hersteller Updates zusagt.