Eine unsichtbare SMS könnte ausreichen, um den Telefondienst eines Android-Smartphones zum Absturz zu bringen, Notrufe zu unterbrechen und das Gerät möglicherweise in wiederholten Abstürzen festzusetzen.
Der Sicherheitsforscher Mark Blaszczyk hat eine kritische Schwachstelle offengelegt, die als CVE-2026-58882 geführt wird und es Angreifern ermöglicht, Androids Telefonie-Framework durch das Senden einer speziell präparierten WAP-Push-SMS zu beeinträchtigen.
Die als CVE-2026-58882 geführte Schwachstelle betrifft das zentrale Telefonie-Framework von Android. Der Angriff erfordert keinerlei Aktion des Empfängers. Betroffene müssen weder eine Nachricht öffnen noch auf einen Link klicken oder überhaupt eine Benachrichtigung erhalten.
Laut Blaszczyk erscheint die schädliche Nachricht nicht im Posteingang, und Android gibt die Nummer des Absenders nicht preis. Die Schwachstelle betrifft Android 12 bis 16. Google verteilt eine Fehlerbehebung für Android 14 bis 17 mit seinem Sicherheitsupdate vom Oktober 2026. Geräte mit älteren Versionen, für die keine Sicherheitsupdates verfügbar sind, könnten weiterhin gefährdet sein.
Wie wenige Bytes Android zum Absturz bringen können
Das Problem steckt in der Android-Komponente WapPushOverSms, die über Mobilfunknetze versendete WAP-Push-Nachrichten verarbeitet.
Blaszczyk stellte fest, dass Android die Header-Länge der Nachricht zunächst als große Zahl einliest und sie anschließend in eine kleinere Ganzzahl umwandelt, ohne zu prüfen, ob der Wert gültig ist. Eine speziell präparierte Folge aus fünf Bytes bewirkt, dass diese Umwandlung eine negative Zahl ergibt. Wenn Android versucht, anhand dieses Werts Speicher zu reservieren, wird eine NegativeArraySizeException ausgelöst.
Die Ausnahme bringt com.android.phone zum Absturz, den für Telefoniefunktionen zuständigen Systemprozess. Tests mit Google Pixel- und Samsung-Galaxy-Geräten ergaben laut dem Forscher eine Reproduktionsrate von 100 %.
Wiederholte Abstürze können Smartphones unbenutzbar machen
Die unmittelbare Folge sind unterbrochene Anrufe, darunter auch Notrufe. Der Telefondienst des Smartphones startet normalerweise nach etwa ein bis zwei Sekunden neu und unterbricht den Netzwerkzugang vorübergehend. Das Problem kann jedoch andauern, weil Mobilfunkanbieter Nachrichten erneut senden, die das Gerät nie erfolgreich bestätigt hat.
Die schädliche SMS verbleibt außerdem in der Warteschlange ausstehender Nachrichten von Android. Beim Neustart des Smartphones versucht das System erneut, sie zu verarbeiten, und löst dadurch möglicherweise einen weiteren Absturz aus. Blaszczyk stellte fest, dass etwa 20 Nachrichten ein Gerät über längere Zeit unbenutzbar machen konnten. Androids Wiederherstellungsmechanismus RescueParty kann Geräte, die wiederholt abstürzen, schließlich in den Wiederherstellungsmodus versetzen.
Blaszczyk beschrieb ein Wiederherstellungsverfahren mit der Android Debug Bridge (ADB), um die problematischen Nachrichten zu entfernen, ohne das Gerät zu löschen. Das Verfahren erfordert jedoch einen technischen Zugriff, den viele Smartphone-Besitzer nicht im Voraus eingerichtet haben dürften.
Googles Fehlerbehebung verhindert die wiederholten Abstürze
Google erhielt Blaszcyks Meldung am 5. Mai 2026. Eine technische Änderung zur Behebung der Schwachstelle wurde am 15. Juni eingereicht. Statt die vom Forscher vorgeschlagene Validierung der Header-Länge umzusetzen, erweiterte Google die Ausnahmebehandlung, um Laufzeitfehler abzufangen und fehlerhafte Nachrichten aus der Warteschlange ausstehender Nachrichten zu entfernen.
Das Sicherheitsupdate vom Oktober 2026 enthält die Fehlerbehebung für Android 14 bis 17. Auch GrapheneOS hat angegeben , dass die Schwachstelle im Sicherheitsbulletin für November erscheinen wird, nachdem sie zuvor über Sicherheitsvorschauen verteilt wurde.
Die unterschiedlichen Zeitpläne verdeutlichen eine wiederkehrende Herausforderung bei der Android-Sicherheit: Dass eine Fehlerbehebung das Android Open Source Project erreicht, bedeutet nicht automatisch, dass jedes unterstützte Smartphone sie umgehend erhält.
Was Android-Nutzer tun sollten
Für Verbraucher stellt diese Schwachstelle ein Problem dar, das sich durch gewöhnliche Sicherheitsmaßnahmen nicht verhindern lässt. Es gibt keinen verdächtigen Link, den man meiden, oder eine Nachricht, die man löschen könnte, da der Angriff stattfindet, bevor Nutzer überhaupt etwas sehen.
Die Installation des neuesten verfügbaren Android-Sicherheitsupdates ist der praktikabelste Schutz. Besitzer älterer Geräte, die keine Sicherheitsupdates mehr erhalten, stehen vor größerer Ungewissheit, da die zugrunde liegende Schwachstelle möglicherweise nicht behoben wird.
Besonders besorgniserregend sind die Auswirkungen auf Notrufe. Ein Smartphone, das unerwartet seine Telefoniefunktion verliert, könnte dazu führen, dass jemand im dringendsten Moment keine Rettungsdienste erreicht.
Das größere Problem für Androids Geräteökosystem
Die Schwachstelle legt außerdem eine Schwäche darin offen, wie Sicherheitsupdates für Mobilgeräte die Verbraucher erreichen. Google kann einen Fehler in der zugrunde liegenden Plattform beheben, doch Hersteller und Mobilfunkanbieter beeinflussen weiterhin, wann die Updates einzelne Geräte erreichen.
Hersteller und Mobilfunkanbieter beeinflussen die Verfügbarkeit von Updates, sodass Nutzer auf die gerätespezifischen Support-Zeitpläne angewiesen sind. Smartphones, die keine Sicherheitsupdates mehr erhalten, können weiterhin gefährdet sein, selbst nachdem die zugrunde liegende Schwachstelle behoben wurde.
Die Veröffentlichung von Proof-of-Concept-Code durch Blaszczyk erhöht den Handlungsdruck bei der Verteilung von Updates. Da der gemeldete Angriff keinerlei Interaktion des Empfängers erfordert, bieten gewöhnliche Vorsichtsmaßnahmen gegen verdächtige Nachrichten nur wenig Schutz.
Die weitergehende Sorge geht über einzelne Geräte hinaus. Schwachstellen, die Telefondienste beeinträchtigen, können die Zuverlässigkeit der mobilen Kommunikation gefährden und machen zeitnahe Updates sowohl für die Sicherheit der Nutzer als auch für die Verfügbarkeit der Dienste wichtig.
Weitere Nachrichten: Anthropic zufolge ein unveröffentlichtes Claude-Modell entwickelte fünf funktionierende Exploit-Ketten gegen Chrome, Safari, Android, Windows und Linux.