Ing. Calogero Bono
Eine einzige manipulierte WAP-Push-Nachricht kann die Telefonfunktion eines Android-Smartphones zum Absturz bringen, Anrufe unterbrechen und in manchen Fällen einen endlosen Neustart-Zyklus auslösen. Die Lücke trägt die Bezeichnung CVE-2026-58882 und wurde am 29. Oktober vom Sicherheitsforscher Mark Blaszczyk veröffentlicht. Du musst dafür nichts öffnen, und Googles Korrektur deckt nicht alle Versionen ab. Für Unternehmen, die Diensthandys verwalten, ist das Thema ganz konkret.
Ein paar Begriffe, bevor wir zu den Fakten kommen. CVE ist der Code, der eine bekannte Sicherheitslücke eindeutig identifiziert. WAP Push ist ein Nachrichtentyp, den das System automatisch verarbeitet und der möglicherweise nicht im SMS-Posteingang erscheint. Denial of Service bezeichnet einen Angriff, der keine Daten stiehlt, sondern verhindert, dass das Gerät funktioniert. Bootloop ist die Endlosschleife aus ständigen Neustarts. ADB ist das Werkzeug vom Computer, mit dem du mit einem Android-Telefon kommunizierst.
Was ist der SMS of Death und wie funktioniert er?
Laut DDay betrifft die Lücke die Verarbeitung von WAP-Push-Nachrichten, die direkt vom Telefonie-Framework von Android übernommen werden. Eine fehlerhafte Nachricht lässt den Prozess com.android.phone abstürzen, und das Telefon verliert für einen Moment die Mobilfunkverbindung.
Wie Punto Informatico berichtet, enthält der manipulierte Header einen negativen Wert (-2.147.483.648), der bei der Speicherzuweisung eine Ausnahme auslöst. Das alles passiert, bevor die SMS in der Nachrichtenliste erscheint, deshalb bemerkt das Opfer nichts Verdächtiges.
Welchen Schaden kann eine einzige Nachricht anrichten?
Ein einzelner Absturz dauert nur wenige Sekunden, weil Android den Telefonprozess neu startet. Findet in diesem Moment ein Anruf statt, bricht er ab, auch Notrufe.
Das Problem wiederholt sich, wenn der Netzbetreiber die Nachricht erneut zustellt oder der Inhalt in der Warteschlange bleibt und erneut verarbeitet wird. HDblog berichtet, dass schon 20 Nachrichten einen Neustart-Zyklus auslösen können. Auf einem Gerät mit Android 12 wechselte das Telefon etwa alle 90 Sekunden in den Wiederherstellungsmodus.
Um es wieder nutzen zu können, war ein Zurücksetzen auf die Werkseinstellungen nötig. Der Forscher hat außerdem ein ADB-Verfahren beschrieben, mit dem sich die problematischen Nachrichten entfernen lassen, das erfordert aber einen Computer und technische Kenntnisse.
Sind Daten gefährdet?
Nein, laut DDay. Die Lücke erlaubt es nicht, Passwörter, Fotos oder andere persönliche Daten zu stehlen. Es handelt sich um einen Denial-of-Service-Angriff, der auf die Mobilfunkverbindung zielt.
Ebenfalls laut DDay wurden bislang keine großangelegten Kampagnen erkannt, die die Lücke ausnutzen. Der Forscher hatte sie am 5. Mai an Google gemeldet und am 29. Oktober Details veröffentlicht, nachdem er den Angriff auf Google Pixel und Samsung Galaxy nachgestellt hatte.
Wer ist geschützt und wer bleibt angreifbar?
Die Korrektur wurde laut der Rekonstruktion des Forschers im Juni entwickelt und mit den Oktober-Updates für Android 14 bis 17 verteilt. Bei den noch unterstützten Pixel-Geräten liegt der Patch-Stand beim 5. Oktober 2026.
Android 12 und 13 enthalten den verwundbaren Code, doch die Korrektur wurde dafür nicht verteilt, weil diese Systeme nicht mehr unterstützt werden. Wer dort ohne Herstellerupdates weiterarbeitet, ist angreifbar. Punto Informatico merkt an, dass das Update nur wenige Geräte erreicht hat. Das passt zu den Zahlen zur langsamen Verbreitung von Android 17.
Grenzen, die du kennen solltest
Die Kennung CVE-2026-58882 taucht im Android-Sicherheitsbulletin vom Oktober nicht ausdrücklich auf, obwohl dort andere DoS-Lücken im Framework aufgelistet sind. Das Datum der Korrektur und der Schutz gepatchter Geräte stammen aus der Rekonstruktion des Forschers, nicht aus einer Bestätigung von Google in den Quellen. Wir wissen nicht, wie viele Telefone tatsächlich betroffen sind oder ob es gezielte Ausnutzungen gibt.
Was sich für alle ändert, die mit digitalen Werkzeugen arbeiten
Für ein Unternehmen mit Diensthandys ist das Risiko der Ausfall von Anrufen und der Erreichbarkeit, nicht der Abfluss von Daten. Es lohnt sich zu wissen, welche Modelle und Android-Versionen im Einsatz sind. Geräte mit Android 12 oder 13 solltest du als gefährdet betrachten, solange sie ohne Patch bleiben. Das Patch-Management betrifft nicht nur Telefone, dieselbe Disziplin braucht man auch für Websites, wie wir beim Thema Überwachung von CVEs erklären.
Unsere Einschätzung
Der Fall zeigt die alte Schwäche von Android. Die Korrektur existiert seit Monaten, doch vom Vorteil für die Entwickler bleibt wenig, wenn der Hersteller sie nicht ausliefert oder das Gerät nicht mehr unterstützt wird. Auffällig ist auch, dass die Kennung nicht im Oktober-Bulletin steht, was die Prüfung deines eigenen Gerätebestands erschwert. Das Risiko ist begrenzt, doch weil die Notrufe betroffen sein können, ist es ernst zu nehmen.
Häufig gestellte Fragen
Muss ich die SMS öffnen, damit ich betroffen bin?
Nein. Die Lücke wird bei der Verarbeitung der Nachricht durch das System ausgelöst. Du musst sie nicht öffnen, keine Links antippen und keine Anhänge herunterladen.
Stiehlt der SMS of Death meine Daten?
Nein. Laut DDay erlaubt er nicht, Passwörter, Fotos oder persönliche Daten zu stehlen. Er zielt darauf ab, das Telefon lahmzulegen, vor allem die Mobilfunkverbindung.
Welche Android-Versionen sind geschützt?
Android 14, 15, 16 und 17 mit dem Oktober-Patch, laut dem Forscher. Android 12 und 13 enthalten den verwundbaren Code und haben die Korrektur nicht erhalten.
Was tue ich, wenn das Telefon in einer Bootloop hängt?
Die Werkseinstellungen helfen, löschen aber die Daten. Alternativ gibt es ein ADB-Verfahren, um die problematischen Nachrichten zu entfernen. Das erfordert einen Computer und technische Kenntnisse.
Brechen auch Notrufe ab?
Ja. Die Quellen berichten, dass der Absturz laufende Anrufe unterbricht, auch Notrufe an die Rettungsdienste. Ein einzelner Absturz dauert nur wenige Sekunden.
Worauf du in den kommenden Wochen bei den Android-Patches achten solltest
Entscheidend ist, welche Updates tatsächlich auf den Telefonen ankommen. Ein paar Signale solltest du im Blick behalten.
- Prüfe, ob aktualisierte Telefone den Patch-Stand vom Oktober oder einen neueren anzeigen.
- Verfolge, ob Google CVE-2026-58882 in die Sicherheitsbulletins aufnimmt.
- Ersetze oder isoliere Geräte mit Android 12 und 13, die keine Updates mehr erhalten.
