SMS des Todes: Android-Lücke kann Smartphones lahmlegen

Eine präparierte SMS kann Android-Smartphones ohne Zutun ihrer Besitzer zum Absturz bringen. Die als SMS des Todes bezeichnete Sicherheitslücke CVE-2026-58882 betrifft die Verarbeitung spezieller Mobilfunknachrichten. Angreifer können dadurch laufende Telefonate unterbrechen und unter bestimmten Bedingungen wiederholte Geräteneustarts auslösen.

Der Sicherheitsforscher Mark Blaszczyk veröffentlichte Ende Oktober 2026 technische Details und einen funktionierenden Proof of Concept. Für Unternehmen ist die Schwachstelle besonders relevant, wenn Android-Geräte für Bereitschaftsdienste, Außendienst oder geschäftskritische Kommunikation eingesetzt werden.

Wie funktioniert die SMS des Todes?

Die Schwachstelle steckt in der Android-Systemkomponente WapPushOverSms, die sogenannte WAP-Push-Nachrichten verarbeitet. Diese speziellen SMS-Nachrichten übertragen Daten, die das Betriebssystem automatisch auswertet.

Bei CVE-2026-58882 liest Android eine Längenangabe aus dem Nachrichtenkopf und wandelt sie ohne Prüfung in einen kleineren Zahlentyp um. Eine passend gewählte Folge von fünf Bytes macht das Ergebnis negativ. Beim Anlegen eines Speicherbereichs mit dieser Größe entsteht eine NegativeArraySizeException.

Diese Ausnahme wird nicht ordnungsgemäß abgefangen. Dadurch stürzt der Systemprozess com.android.phone ab, der wesentliche Funktionen der Mobilfunkverbindung verwaltet.

Besonders problematisch ist die fehlende Nutzerinteraktion. Die Nachricht erscheint nicht im regulären SMS-Posteingang. Betroffene müssen weder einen Link öffnen noch eine Anwendung installieren.

Anders als beim klassischen SMS-Phishing und Smishing richtet sich dieser Angriff nicht gegen das Verhalten der Nutzer. Er nutzt einen technischen Fehler im Betriebssystem aus.

Welche Android-Versionen sind von CVE-2026-58882 betroffen?

Nach Angaben des Entdeckers ist die fehlerhafte Verarbeitung in Android 12 bis 16 enthalten. Der Sicherheitsforscher reproduzierte Abstürze unter anderem auf Geräten von Google und Samsung.

Google erhielt den Bericht bereits am 5. Mai 2026 und übernahm eine Korrektur am 15. Juni in den Quellcode. Ausgeliefert wurde sie mit den Android-Sicherheitsupdates vom Oktober 2026 für Android 14 bis 17.

Daraus ergibt sich eine Lücke: Geräte mit Android 12 und 13 fallen nicht in den Korrekturbereich. Sie können weiterhin betroffen sein, wenn Hersteller keine entsprechenden Sicherheitskorrekturen mehr bereitstellen.

Ob ein konkretes Smartphone geschützt ist, hängt deshalb vom installierten Sicherheitsupdate und der Software des jeweiligen Geräteherstellers ab.

Die unterschiedlichen Update-Zeiträume zeigen, weshalb Unternehmen den Lebenszyklus mobiler Endgeräte regelmäßig überprüfen sollten.

Was können Angreifer mit der Sicherheitslücke auslösen?

Der dokumentierte Angriff zielt auf die Verfügbarkeit des Smartphones. Wird die manipulierte Nachricht verarbeitet, stürzt der Telefoniedienst ab und unterbricht die Mobilfunkverbindung.

Dadurch brechen laufende Gespräche ab. Nach den Tests des Sicherheitsforschers betrifft dies auch Notrufe, sofern der Angriff während einer entsprechenden Verbindung ausgelöst wird. Der Dienst startet zwar meist innerhalb von ein bis zwei Sekunden neu, doch damit ist das Problem nicht erledigt.

Mobilfunkanbieter stellen nicht bestätigte Nachrichten nämlich erneut zu. Die fehlerhafte SMS bleibt zudem in der internen Warteschlange und wird nach jedem Neustart erneut verarbeitet.

In Tests genügten rund 20 solcher Nachrichten, um ein Gerät für längere Zeit unbrauchbar zu machen. Androids Schutzmechanismus RescueParty kann wiederholt abstürzende Geräte außerdem in den Wiederherstellungsmodus versetzen.

Der veröffentlichte Proof of Concept demonstriert diese Auswirkungen unter kontrollierten Bedingungen. Eine breit angelegte Angriffskampagne ist bisher nicht belegt.

Wichtig ist außerdem die Abgrenzung zum Datendiebstahl. Die dokumentierte Schwachstelle ermöglicht keine nachgewiesene Übernahme persönlicher Dateien oder Zugangsdaten. Datenverluste können allerdings entstehen, wenn Betroffene ihr Gerät zur Wiederherstellung auf Werkseinstellungen zurücksetzen.

Welche Sicherheitsupdates schützen Android-Geräte?

Google hat den Fehler durch eine erweiterte Fehlerbehandlung im Telefonie-Framework korrigiert. Fehlerhafte Nachrichten entfernt das System zusätzlich aus der internen Warteschlange.

Bemerkenswert ist der gewählte Weg: Statt die Längenangabe im Nachrichtenkopf zu prüfen, wie vom Entdecker vorgeschlagen, fängt Android die Laufzeitfehler nun ab. Das verhindert den dauerhaften Absturz des Telefonieprozesses.

Die Korrektur gehört zum Oktober-Update 2026 für Android 14 bis 17. Unternehmen sollten dennoch die jeweiligen Sicherheitsinformationen ihres Geräteherstellers prüfen.

Für betroffene Geräte gelten insbesondere drei Maßnahmen:

• Sicherheitsupdates installieren: Den Android-Sicherheitspatchstand kontrollieren und verfügbare Herstellerupdates zeitnah einspielen.
• Ältere Geräte überprüfen: Smartphones ohne laufende Sicherheitsversorgung identifizieren und einen Austausch bewerten.
• Telefonieausfälle untersuchen: Wiederkehrende Verbindungsabbrüche und unerklärliche Neustarts technisch analysieren lassen.

Ein Wechsel der SMS-App reicht als Schutzmaßnahme nicht aus. Der Fehler betrifft das Android-Telefonie-Framework und tritt vor der Verarbeitung durch gewöhnliche Nachrichtenanwendungen auf.

Auch zusätzliche Netzwerkfunktionen ersetzen keine Sicherheitsupdates. IT-Dock berichtete bereits darüber, wie Android 17 die Netzwerksicherheit verbessert. Die nun veröffentlichte Schwachstelle zeigt, dass auch grundlegende Betriebssystemkomponenten regelmäßig überprüft werden müssen.

Was sollten Unternehmen mit Android-Firmengeräten tun?

Für Unternehmen ist die SMS des Todes vor allem ein Risiko für die Erreichbarkeit und Verfügbarkeit mobiler Arbeitsplätze.

Beschäftigte im Außendienst, technische Bereitschaftsteams und mobile Servicekräfte sind häufig auf zuverlässige Telefonverbindungen angewiesen. Wiederholte Abstürze verzögern Abläufe und beeinträchtigen die Kommunikation in kritischen Situationen.

IT-Abteilungen sollten deshalb prüfen, welche Android-Versionen innerhalb ihrer Geräteflotte eingesetzt werden. Ein Mobile Device Management macht fehlende Updates und nicht mehr unterstützte Geräte sichtbar.

Zusätzlich sollten Unternehmen definieren, wie sie auf wiederholte Mobilfunkstörungen reagieren. Betroffene Geräte müssen gegebenenfalls ausgetauscht und wichtige Kommunikationswege vorübergehend auf andere Endgeräte verlagert werden.

Der Vorfall unterscheidet sich von der bereits bekannten Gemini-Sicherheitslücke unter Android. Während diese einen physischen Zugriff voraussetzt, lässt sich CVE-2026-58882 über eine speziell präparierte Mobilfunknachricht aus der Ferne auslösen.

Die SMS des Todes verdeutlicht damit ein grundlegendes Problem der mobilen IT-Sicherheit: Auch ohne Benutzerfehler können Schwachstellen die Verfügbarkeit geschäftskritischer Geräte beeinträchtigen. Regelmäßige Updates und ein geregelter Geräteaustausch bleiben deshalb unverzichtbar.

Quellen:
SMS of Death, technische Dokumentation und Proof of Concept, 29.10.2026
eSecurityPlanet, Android SMS of Death Flaw Can Drop Emergency Calls, 30.10.2026
heise online, SMS of Death: Security flaw crashes Android phones, 30.10.2026