Eine unsichtbare Textnachricht könnte ausreichen, um den Telefondienst eines Android-Smartphones zum Absturz zu bringen, Notrufe zu unterbrechen und das Gerät möglicherweise in einer endlosen Folge von Abstürzen festzusetzen.
Der Sicherheitsforscher Mark Blaszczyk hat eine kritische, als CVE-2026-58882 geführte Schwachstelle offengelegt, über die Angreifer das Telefonie-Framework von Android durch den Versand einer speziell präparierten WAP-Push-SMS stören können.
Die als CVE-2026-58882 geführte Schwachstelle betrifft das zentrale Telefonie-Framework von Android. Für den Angriff ist keine Aktion des Empfängers erforderlich. Die Opfer müssen weder eine Nachricht öffnen noch auf einen Link klicken oder überhaupt eine Benachrichtigung erhalten.
Laut Blaszczyk erscheint die schädliche Nachricht nie im Posteingang, und Android gibt die Nummer des Absenders nicht preis. Die Schwachstelle betrifft Android 12 bis 16; Google stellt in seinem Sicherheitsupdate für Oktober 2026eine Fehlerbehebung für Android 14 bis 17 bereit. Geräte mit älteren Versionen, die keinen Zugang zu Sicherheitsupdates haben, könnten weiterhin gefährdet sein.
Wie wenige Bytes Android zum Absturz bringen können
Das Problem steckt in der Android-Komponente WapPushOverSms, die über Mobilfunknetze gesendete WAP-Push-Nachrichten verarbeitet.
Blaszczyk stellte fest, dass Android die Länge des Nachrichten-Headers zunächst als große Zahl einliest und sie anschließend in eine kleinere Ganzzahl umwandelt, ohne zu prüfen, ob der Wert gültig ist. Eine speziell präparierte Sequenz aus fünf Bytes führt dazu, dass bei dieser Umwandlung eine negative Zahl entsteht. Wenn Android versucht, anhand dieses Werts Speicher zu reservieren, wird eine NegativeArraySizeException ausgelöst.
Die Ausnahme bringt com.android.phone zum Absturz, den Systemprozess, der für Telefoniefunktionen zuständig ist. Tests mit Google Pixel und Samsung-Galaxy-Gerätenergaben laut dem Forscher eine Reproduktionsrate von 100 %.
Wiederholte Abstürze können Smartphones unbrauchbar machen
Die unmittelbare Folge sind abgebrochene Anrufe, darunter auch Notrufe. Der Telefondienst des Smartphones startet typischerweise nach etwa ein bis zwei Sekunden neu und unterbricht dabei vorübergehend den Netzzugang. Das Problem kann jedoch fortbestehen, weil Mobilfunkanbieter Nachrichten erneut senden, die das Gerät zuvor nicht erfolgreich bestätigt hat.
Die schädliche SMS bleibt außerdem in der Warteschlange ausstehender Nachrichten von Android. Beim Neustart des Smartphones versucht das System erneut, sie zu verarbeiten, was möglicherweise einen weiteren Absturz auslöst. Blaszczyk stellte fest, dass etwa 20 Nachrichten ein Gerät über längere Zeit unbrauchbar machen konnten. Androids Wiederherstellungsmechanismus RescueParty kann wiederholt abstürzende Geräte schließlich in den Wiederherstellungsmodus versetzen.
Blaszczyk beschrieb ein Wiederherstellungsverfahren mit der Android Debug Bridge (ADB), um die schädlichen Nachrichten zu entfernen, ohne das Gerät zu löschen. Das Verfahren erfordert jedoch technischen Zugang, den viele Smartphone-Besitzer möglicherweise nicht im Voraus eingerichtet haben.
Googles Fehlerbehebung verhindert wiederholte Abstürze
Google erhielt Blaszczyks Bericht am 5. Mai 2026. Eine technische Änderung zur Behebung der Schwachstelle wurde am 15. Juni eingespielt. Anstatt die vom Forscher vorgeschlagene Validierung der Header-Länge umzusetzen, erweiterte Google die Ausnahmebehandlung, um Laufzeitfehler abzufangen und fehlerhafte Nachrichten aus der Warteschlange ausstehender Nachrichten zu entfernen.
Das Sicherheitsupdate für Oktober 2026 enthält die Fehlerbehebung für Android 14 bis 17. GrapheneOS hat ebenfalls angegebendass die Schwachstelle im Sicherheitsbulletin für November auftauchen wird, nachdem sie zuvor bereits über Sicherheitsvorschauen verteilt worden war.
Die unterschiedlichen Zeitpläne verdeutlichen eine wiederkehrende Herausforderung bei der Android-Sicherheit: Dass eine Fehlerbehebung das Android Open Source Project erreicht, bedeutet nicht automatisch, dass jedes unterstützte Smartphone sie sofort erhält.
Was Android-Nutzer tun sollten
Für Verbraucher stellt diese Schwachstelle ein Problem dar, das sich durch gewöhnliche Sicherheitsgewohnheiten nicht verhindern lässt. Es gibt keinen verdächtigen Link, den man meiden, oder eine Nachricht, die man löschen könnte, weil der Angriff erfolgt, bevor Nutzer überhaupt etwas sehen.
Die Installation des aktuell verfügbaren Android-Sicherheitsupdatesist der praktikabelste Schutz. Besitzer älterer Geräte, die keine Sicherheitsupdates mehr erhalten, sind mit größerer Unsicherheit konfrontiert, weil die zugrunde liegende Schwachstelle möglicherweise nicht behoben wird.
Besonders besorgniserregend sind die Auswirkungen auf Notrufe. Ein Smartphone, das unerwartet seine Telefoniefunktion verliert, könnte dazu führen, dass jemand im dringendsten Moment keine Rettungsdienste erreichen kann.
Das größere Problem für das Android-Geräteökosystem
Die Schwachstelle legt außerdem eine Schwäche darin offen, wie Sicherheitsupdates für Mobilgeräte die Verbraucher erreichen. Google kann einen Fehler in der zugrunde liegenden Plattform beheben, doch Hersteller und Mobilfunkanbieter beeinflussen weiterhin, wann die Updates auf einzelnen Geräten ankommen.
Hersteller und Mobilfunkanbieter beeinflussen die Verfügbarkeit von Updates, sodass Nutzer von den Support-Zeitplänen der jeweiligen Geräte abhängig sind. Smartphones, die keine Sicherheitsupdates mehr erhalten, können auch dann gefährdet bleiben, wenn die zugrunde liegende Schwachstelle bereits behoben wurde.
Blaszczyks Veröffentlichung von Proof-of-Concept-Code erhöht den Druck, Updates bereitzustellen. Da der gemeldete Angriff keine Interaktion des Empfängers erfordert, bieten gewöhnliche Vorsichtsmaßnahmen gegen verdächtige Nachrichten nur wenig Schutz.
Die weitergehende Sorge betrifft nicht nur einzelne Geräte. Schwachstellen, die Telefondienste stören, können die Zuverlässigkeit der mobilen Kommunikation beeinträchtigen und machen zeitnahe Updates sowohl für die Sicherheit der Nutzer als auch für die Verfügbarkeit der Dienste wichtig.
Weitere Nachrichten: Anthropic zufolge entwickelte ein bislang unveröffentlichtes Claude-Modell fünf funktionierende Exploit-Ketten, die auf Chrome, Safari, Android, Windows und Linux abzielten.