Android: „SMS of Death“ legt Smartphones ohne Klick lahm

Der unabhängige Sicherheitsforscher Mark Blaszczyk hat Details zu einer Zero-Click-Schwachstelle in Android veröffentlicht, die er „SMS of Death“ nennt. Eine speziell präparierte Textnachricht kann den Telefoniedienst des Geräts wiederholt abstürzen lassen, ohne dass der Nutzer etwas tun muss. Google hat den Fehler bereits behoben, aktuelle Geräte sind daher nicht gefährdet.

So funktioniert der Fehler

Die Lücke steckt in einer älteren Android-Komponente, die ein veraltetes „Data-SMS“-Format verarbeitet. Es wurde früher für MMS-Benachrichtigungen und Push-Inhalte genutzt. Solche Nachrichten erscheinen nie auf dem Bildschirm und laufen im Hintergrund. Laut dem Forscher liest Android die Länge eines Nachrichten-Headers als Long-Wert und wandelt sie in einen vorzeichenbehafteten 32-Bit-Integer um, ohne zu prüfen, ob der Wert plausibel ist.

Bei der Fünf-Byte-Folge 88 80 80 80 00 ergibt sich der Wert -2147483648. Android versucht dann, ein Byte-Array dieser negativen Größe anzulegen, und beendet dadurch den Prozess com.android.phone, der für die Telefonie zuständig ist. Jede manipulierte Nachricht unterbricht den Dienst für ein bis zwei Sekunden, bis der Prozess neu startet. Laufende Anrufe werden dabei getrennt.

Der Angreifer benötigt nur die Telefonnummer des Opfers. Die Nachricht taucht weder im Posteingang noch in den Benachrichtigungen auf.

Von kurzer Störung zum unbrauchbaren Gerät

Eine einzelne Nachricht verursacht nur eine kurze Unterbrechung, doch der Angreifer kann beliebig viele senden. Laut Blaszczyk kann schon eine Nachricht zeitweise Ausfälle von bis zu einer Woche auslösen, zwanzig Nachrichten machen ein Gerät noch länger unbrauchbar. Rund dreißig schnell versendete Nachrichten können die SQLite-Datenbank beschädigen, in der SMS gespeichert sind. Das Telefon stürzt dann womöglich bei jedem Start ab, auch ohne neue Nachricht.

Ein Werksreset hilft nicht zwingend, da der Angreifer die Nachricht erneut senden kann. Der Forscher empfiehlt als einzige Lösung, die physische SIM-Karte in ein Nicht-Android-Telefon zu stecken und die beschädigten SMS zu löschen. Bei einer eSIM ist das praktisch unmöglich.

Behoben, kein bekannter Missbrauch

Blaszczyk meldete die Lücke am 5. Mai über das Android and Devices Vulnerability Reward Program an Google. Zunächst stufte Google sie als Nicht-Sicherheitsproblem mit zu geringem Schweregrad ein. Am 15. Juni 2026 entstand ein Fix, der im Android-Sicherheitsupdate vom Oktober 2026 für Android 14 bis Android 17 ausgeliefert wurde.

Die Lücke erlaubt weder Datendiebstahl noch das Installieren von Spyware oder die Übernahme des Geräts. Es handelt sich um einen Denial-of-Service-Angriff, der Anrufe und Mobilfunknutzung blockieren kann. Am gravierendsten sind die möglichen Folgen für Notrufe. Ein Einsatz in der Praxis wurde bislang nicht beobachtet.