Android-Lücke „SMS of Death“ kann Anrufe ohne Tippen beenden

Der unabhängige Forscher Mark Blaszczyk hat am 29. Oktober 2026 eine Android-Schwachstelle offengelegt, die er „SMS of Death“ nennt. Laut der Offenlegung kann eine einzige fehlerhafte Nachricht, die als Daten-SMS gesendet wird, den Telefondienst eines anfälligen Handys zum Absturz bringen, ohne dass die betroffene Person etwas öffnen, auf einen Link tippen oder sonst etwas tun muss. Dies wird hier als BERICHT DES FORSCHERS, teilweise durch unabhängige Berichterstattung bestätigt, eingeordnet: Die Tests stammen vom Forscher selbst, und der genaue Zeitplan des Patches ist weiterhin umstritten, wie unten erklärt wird.

Die Schwachstelle liegt in WapPushOverSms, einem Teil von Androids Telefonie-Framework, das WAP-Push-Nachrichten verarbeitet – ein altes Daten-SMS-Format, das etwa für Betreiber- und Multimedia-Nachrichtenbenachrichtigungen genutzt wird. Beim Dekodieren liest der Code die angegebene Header-Länge und wandelt sie in eine vorzeichenbehaftete 32-Bit-Zahl um, ohne den Bereich ausreichend zu prüfen. Der resultierende Wert kann negativ werden, und wenn Android versucht, Speicher dieser Größe zu reservieren, löst es eine Ausnahme aus, die den Prozess com.android.phone abstürzen lässt, der für Anrufe und die Mobilfunkverbindung zuständig ist.

Was in der Praxis passiert

Da die Nachricht verarbeitet wird, bevor sie die Nachrichten-App erreicht, erscheint sie laut dem Forscher nicht im Posteingang, erzeugt keine sichtbare Benachrichtigung und zeigt die Nummer des Absenders nicht an. Jeder Absturz unterbricht den Dienst etwa ein bis zwei Sekunden lang, während der Prozess neu startet – genug, um ein laufendes Gespräch zu beenden, auch einen Notruf. Da Betreiber unbestätigte Nachrichten erneut senden können, kann sich die Unterbrechung wiederholen. In den Tests des Forschers reichten etwa 20 Nachrichten aus, um ein Gerät über einen längeren Zeitraum praktisch unbrauchbar zu machen, gefangen in einer Neustartschleife.

Blaszczyk gibt an, die Schwachstelle bei jedem Versuch auf einem Pixel 9 und auf mehreren Samsung-Galaxy-Handys, darunter Modellen der A-Reihe, mit Android 12 bis 16 reproduziert zu haben. Der anfällige Code reicht laut Berichterstattung mindestens bis zu Android 12 zurück. Die Auswirkung ist einzugrenzen: Es handelt sich um eine Denial-of-Service-Schwachstelle, also um Verfügbarkeit. Die Offenlegung liefert keinen Beleg dafür, dass Daten, Passwörter oder Fotos gestohlen oder das Gerät übernommen wird, und bislang gibt es keine bestätigten Angriffe in der realen Welt.

Wer geschützt ist – und wo Angaben auseinandergehen

Laut dem Forscher existiert seit Juni 2026 eine Korrektur im Android Open Source Project, die Berichten zufolge in den Oktober-2026-Updates für Android 14 bis 17 angekommen ist, nicht aber für Android 12 und 13, die außerhalb des Sicherheitsupdate-Fensters liegen. Ein strittiger Punkt ist wichtig: Die in der Berichterstattung als CVE-2026-58882 identifizierte Schwachstelle, von Android Authority als Kritisch eingestuft, erscheint nicht in Googles Sicherheitsbulletin vom Oktober 2026. Android Authority und das GrapheneOS-Projekt geben an, dass die CVE im November-Bulletin erwartet wird und die Korrektur bereits im Juli in Sicherheitsvorschauen für Hersteller zirkulierte. Der Forscher berichtet zudem, dass Google seine Meldung vom 5. Mai 2026 zunächst als Nicht-Sicherheitsproblem eingestuft habe.

Praktisch bedeutet das zweierlei. Erstens ist selbst ein Handy mit Android 14 oder neuer nur geschützt, wenn es das Update mit der Korrektur installiert hat – die Systemversion allein reicht nicht. Zweitens können Geräte, die auf Android 12 oder 13 festhängen, weiterhin gefährdet sein. Nach von der Berichterstattung zitierten Google-Verteilungsdaten entfallen 9,6 % auf Android 12 und 11,8 % auf Android 13 der aktiven Geräte, zusammen etwa jedes fünfte Gerät. Diese Zahl zählt Systemversionen, keine Patch-Stände, und ist daher kein exaktes Maß dafür, wie viele Geräte gerade jetzt anfällig sind.

Was jetzt zu tun ist

Installieren Sie das neueste Systemupdate, das für Ihr Handy angeboten wird, und prüfen Sie den Sicherheits-Patch-Stand in den Einstellungen. Gehen Sie angesichts der oben beschriebenen Zeitplan-Unstimmigkeit nicht davon aus, dass der Oktober-Patch allein diese Korrektur bereits enthält – prüfen Sie erneut, sobald das November-Bulletin erscheint. Falls ein Handy in eine Neustartschleife gerät, wenden Sie sich an den offiziellen Herstellersupport, statt selbst Daten zu löschen.

Fontes

Bildnachweis: Android-Logo, Bild: Google, via AndroidPure.

Transparenz: Dieser Artikel wurde mit Unterstützung künstlicher Intelligenz erstellt, auf Grundlage öffentlich zugänglicher Internetquellen, die oben aufgeführt sind, einschließlich Berichten über X-Beiträge, die in der Berichterstattung zitiert werden. Prüfen Sie die Originalquellen, um die Details zu bestätigen, bevor Sie eine Entscheidung treffen.

— Muse