Android: „SMS of Death“ legt Smartphones mit einer SMS lahm

So funktioniert der Fehler

Laut dem Forscher fehlt in der Funktion WapPushOverSms.decodeWapPdu die Prüfung eines Längenwerts im Header. Es reicht eine fehlerhafte WAP-Push-Nachricht von acht Byte, die als Datennachricht an Port 2948 geschickt wird. Der Wert wird negativ, die Speicherreservierung scheitert, und der Prozess com.android.phone, der für den Mobilfunk zuständig ist, stürzt ab. Die Netzverbindung bricht ab.

Wiederholte Abstürze sind möglich, wenn Netzbetreiber die Zustellung erneut versuchen oder Android bereits gespeicherte Nachrichten verarbeitet. In Tests versetzten 20 schädliche Nachrichten Telefone in eine Neustartschleife. Ein Gerät mit Android 12 startete etwa alle 90 Sekunden im Recovery-Modus neu und lief erst nach einem Werksreset wieder. Ein GitHub-Beitragender namens Sakis fand einen Weg, die Nachrichten per ADB zu löschen; das erfordert jedoch Fachwissen und einen Computer.

Wer betroffen ist

Laut dem Forscher hat Google die Lücke mit den Sicherheitsupdates vom Oktober 2026 für Android 14, 15, 16 und 17 geschlossen, obwohl sie nicht im offiziellen Bulletin des Monats aufgeführt ist. Geräte mit Android 12 und 13 bleiben angreifbar, da sie keinen Fix erhalten haben – ebenso jedes Telefon, das das Oktober-Update noch nicht bekommen hat.

Googles Korrektur fängt Ausnahmen bei der Verarbeitung fehlerhafter Nachrichten ab und löscht schädliche Nachrichten aus der SMS-Datenbank, damit sich die Abstürze nicht wiederholen. Wann Patches ankommen, hängt vom Hersteller und vom Netzbetreiber ab; manche Geräte erhalten sie später, wie etwa das Galaxy S24 Ultra, das das Update schrittweise bekam.

Da der Exploit-Code öffentlich ist, sollten Android-Nutzer das neueste verfügbare Sicherheitsupdate so schnell wie möglich installieren.