Eine einzige, für Nutzer unsichtbare Kurznachricht kann Android-Smartphones unbrauchbar machen und sogar laufende Notrufe unterbrechen. Das hat der Sicherheitsforscher Mark Blaszczyk nach eigenen Angaben am Donnerstag, 29. Oktober, publik gemacht, wie das IT-Fachportal heise.de berichtet. Betroffen sind laut heise.de offenbar die Android-Versionen 12 bis 17.
Die Schwachstelle trägt inzwischen die Kennung CVE-2026-58882 und wird von Google als kritisch eingestuft. Blaszczyk selbst spricht von „einem ferngesteuerten, Zero-Click-Denial-of-Service-Angriff mit anhaltender Wirkung“ – zitiert wird er von heise.de. Zero-Click heißt: Niemand muss einen Link antippen oder eine App installieren. Schon die technische Verarbeitung der Nachricht löst den Fehler aus, wie die Süddeutsche Zeitung erklärt.
Wie eine Nachricht das Telefon lahmlegt
Der Angriff läuft über das veraltete WAP-Push-System, mit dem Mobilfunkbetreiber versteckte Anweisungen an Geräte schicken – etwa um Netzeinstellungen zu übernehmen. Laut heise.de wandelt Android dabei einen manipulierten Längenwert im WSP-Header in eine negative Arraygröße um. Die Folge ist eine unbehandelte NegativeArraySizeException, der Telefoniedienst „com.android.phone“ stürzt ab. winfuture.de beschreibt denselben Mechanismus als fehlende Bereichsprüfung in der Datei „WapPushOverSms.java“.
Für Betroffene ist das schwer zu bemerken: Die Nachrichten erscheinen nicht im Posteingang. Wird der Fehler nicht behoben, startet das Smartphone laut heise.de etwa alle 90 Sekunden neu, web.de und die WirtschaftsWoche nennen rund anderthalb Minuten. Dazu erscheint eine Aufforderung, im Wiederherstellungsmodus die Daten zu löschen. Wer dort „Wipe data“ wählt, verliert alle Daten auf dem Gerät – davon raten alle Quellen dringend ab.
Blaszczyk konnte den Fehler nach eigenen Angaben zu 100 Prozent reproduzieren, unter anderem auf einem Pixel 9 und diversen Samsung-Galaxy-Geräten. Netzbetreiber stellen unbestätigte Nachrichten erneut zu, sodass sich der Absturz wiederholt. In seinen Tests verursachte schon eine einzige SMS bis zu eine Woche lang Ausfälle; etwa 20 solcher Nachrichten könnten ein Smartphone praktisch dauerhaft unbrauchbar machen, so der Forscher.
Patch für Android 14 bis 17 – und was ältere Geräte betrifft
Google hat laut heise.de bereits reagiert: Der Forscher informierte das Unternehmen am 5. Mai, am 15. Juni entstand eine Korrektur, die offenbar am 5. August eingecheckt und erst im Oktober öffentlich ins Android Open Source Project übertragen wurde. Laut dem Projekt GrapheneOS stellte Google den Patch schon im Juli über Sicherheitsvorschauen bereit. Im Oktober folgte ein Sicherheitspatch für Android 14 bis 17, der aber nicht im Oktober-Bulletin veröffentlicht wurde; die Lücke soll im November-Bulletin als kritisch aufgeführt werden.
Der Haken: Sicherheitsupdates verteilen in der Regel die Gerätehersteller. Wer kein Pixel-Smartphone besitzt, kann laut web.de und WirtschaftsWoche Wochen oder sogar Monate auf den Patch warten. Auf Geräten mit Android 12 oder 13 bleibt die Lücke nach Einschätzung der Quellen mit hoher Wahrscheinlichkeit bestehen, weil Google diese Versionen nicht mehr unterstützt – es sei denn, ein Hersteller entwickelt selbst eine Korrektur. Die Süddeutsche Zeitung betont, die Android-Versionsnummer allein sage nichts darüber aus, ob ein Gerät geschützt ist; entscheidend sei, ob die Korrektur tatsächlich installiert wurde.
Bemerkenswert ist die Vorgeschichte: Google hatte den Fehlerbericht des Forschers zunächst als „Will Not Fix“ geschlossen. GrapheneOS spekuliert auf X, der Bericht sei möglicherweise falsch bearbeitet worden – etwa als Duplikat statt als „WONTFIX“. heise.de ordnet das als mögliche interne Kommunikationspanne ein.
Was Betroffene jetzt tun können
Wer sein Gerät aus der Neustartschleife befreien will, sollte es laut Blaszczyk an einen Computer anschließen und das Entwicklerwerkzeug Android Debug Bridge (ADB) nutzen. Über die Kommandozeile lassen sich die fehlerhaften Nachrichten in dem kurzen Zeitfenster nach einem Neustart aus der Warteschlange löschen, beschreibt winfuture.de. Ohne diesen Schritt bleibt das Gerät praktisch gesperrt.
- Regelmäßig in den Einstellungen unter „System/Softwareupdates“ oder ähnlich prüfen, ob ein Sicherheitsupdate bereitsteht.
- Im Wiederherstellungsmenü keinesfalls „Wipe data“ auswählen.
- Ein Backup verhindert keinen Angriff, kann aber Datenverlust bei einer späteren Wiederherstellung vermeiden, wie die Süddeutsche Zeitung anmerkt.
- Antivirus-Apps, VPN-Dienste und Passwort-Manager können nach Einschätzung der Süddeutschen Zeitung einen fehlenden System-Patch nicht ersetzen.
winfuture.de verweist zudem auf mögliche regulatorische Folgen in Australien: Dort müssen Mobilfunkanbieter Geräte sperren, die den Notruf nicht zuverlässig erreichen. Ein Angreifer könnte demnach aus der Ferne bewirken, dass ein Provider ein betroffenes Smartphone nach 28 Tagen vom Netz trennt. Ein direkter Diebstahl von Fotos, Passwörtern oder Bankdaten ist durch die Schwachstelle laut Süddeutscher Zeitung nicht belegt.
Anmerkung der Redaktion: Ob und wann deutsche Hersteller Patches für ältere Geräte ausliefern, geht aus den vorliegenden Quellen nicht hervor. Nutzer sollten die Update-Anzeige ihres Geräts im Blick behalten.
