Exploit für Android-Lücke veröffentlicht, die Handys per SMS vom Netz trennt
Ein Sicherheitsforscher hat einen funktionierenden Exploit für eine Android-Lücke veröffentlicht, mit der jeder, der Ihre Telefonnummer kennt, das Handy mit einer einzigen versteckten SMS vom Mobilfunknetz trennen kann. Die Schwachstelle, die der Forscher „SMS of Death“ nennt und die BleepingComputer als CVE-2026-58882 führt, bringt den Systemprozess für Anrufe und mobile Daten zum Absturz und kann sogar einen laufenden Notruf abbrechen. Google hat sie mit dem Android-Sicherheitsupdate vom Oktober 2026 für Android 14 bis 17 behoben. Geräte mit Android 12 und 13 bekommen diese Korrektur nicht, berichtete BleepingComputer am 31. Oktober.
Wie eine Nachricht das Handy vom Netz nimmt
Der Angriff nutzt WAP Push, ein altes SMS-Format, mit dem Netzbetreiber Einstellungen und Servicenachrichten an Telefone schicken. Laut der technischen Analyse des Forschers Mark B liest Android einen Längenwert aus dem Nachrichtenkopf und macht daraus ungeprüft eine negative Zahl. Versucht das System dann, Speicher dieser Größe zu reservieren, stürzt der Prozess com.android.phone ab. Er steuert Anrufe, SMS und mobile Daten, also verliert das Handy für ein bis zwei Sekunden das Netz, und ein laufendes Gespräch bricht ab.
Das Opfer muss nichts antippen oder öffnen. Die Nachricht kommt als Daten-SMS an, erscheint nie in der Nachrichten-App, und die Nummer des Absenders wird nicht angezeigt. Nach Angaben des Forschers ließ sich der Absturz auf Android 12 bis 16 nachstellen, mit einer Erfolgsquote von 100 % auf einem Pixel 9 mit Firmware vom April 2026 und auf mehreren Samsung-Galaxy-Modellen.
Warum eine einzige SMS eine Neustart-Schleife auslösen kann
Bestätigt das Telefon den Empfang nicht, schickt der Netzbetreiber die Nachricht erneut, und das Handy stürzt wieder ab. Zudem bleibt die Nachricht in der Warteschlange eingehender SMS und wird bei jedem Start erneut verarbeitet. Im Test verursachte eine einzige Nachricht bis zu eine Woche lang Netzausfälle. Rund 20 davon machten ein Gerät für längere Zeit unbrauchbar. Ein Android-12-Telefon startete etwa alle 90 Sekunden in den Wiederherstellungsmodus neu, wo Android anbietet, alle Daten zu löschen.
Ein GitHub-Nutzer fand einen Ausweg ohne Zurücksetzen auf Werkseinstellungen: die schädlichen Nachrichten über ADB, das Debugging-Werkzeug von Android, im kurzen Zeitfenster nach jedem Start zu löschen. Dafür braucht man einen Computer, zuvor aktiviertes USB-Debugging und technisches Know-how. Die meisten Betroffenen müssten ihr Handy in dieser Lage also löschen.
Ein stiller Patch, der ältere Geräte auslässt
Nach Angaben des Forschers meldete er den Fehler am 5. Mai 2026 an Google. Eine Korrektur mit dem Titel „Fix remote DoS in decodeWapPdu“ wurde im Juni eingespielt und kam mit dem Android-Sicherheitsupdate vom Oktober 2026 für Android 14 bis 17. Die vom Forscher vorgeschlagene Längenprüfung enthält sie nicht. Stattdessen fängt sie den Absturz ab und löscht die auslösende Nachricht, damit sie beim nächsten Start nicht erneut zuschlägt. Im Oktober-Sicherheitsbulletin von Google taucht die Lücke nicht auf. Android 12 und 13 nutzen denselben Code, erhalten aber keine Updates mehr.
Die Proof-of-Concept-App erschien am 29. Oktober auf GitHub. Sie schickt die Nachricht von einem Android-Handy an ein anderes, für den Angriff ist also keine Spezialausrüstung mehr nötig.
So prüfen Sie Ihr Handy
Öffnen Sie die Einstellungen und suchen Sie das Datum des Sicherheitsupdates. Auf Pixel-Geräten steht es unter Einstellungen, Über das Telefon, Android-Version, „Android-Sicherheitsupdate“. Bei Samsung finden Sie es unter Einstellungen, Telefoninfo, Softwareinformationen, „Android-Sicherheitspatch-Ebene“. Ein Datum ab dem 1. Oktober 2026 bedeutet, dass die Korrektur installiert ist, sofern das Gerät mit Android 14 oder neuer läuft. Wartet ein Update, installieren Sie es und starten Sie das Handy neu. Wann Updates erscheinen, hängt von Hersteller und Netzbetreiber ab, daher bekommen manche Geräte mit Android 14 bis 17 die Korrektur später als Pixel-Handys.
Läuft Ihr Handy mit Android 12 oder 13, kommt keine offizielle Korrektur mehr. Ein VPN hilft hier nicht: Der Angriff kommt über das Mobilfunknetz, nicht über das Internet. Wer sich für Notrufe auf ein solches Gerät verlässt, ist nur mit einem neueren Handy geschützt, das noch Updates bekommt.
