SMS of Death: Android-Lücke legt Handy mit einer SMS lahm

Eine neu bekannt gewordene Android-Schwachstelle mit dem Spitznamen SMS of Death kann ein Smartphone mit einer einzigen präparierten Textnachricht stören. Die Lücke trägt die Kennung CVE-2026-58882 und wurde vom Sicherheitsforscher Mark Blah beschrieben. Es handelt sich um einen Zero-Click-Denial-of-Service-Fehler: Nutzer müssen die Nachricht weder öffnen noch sehen, damit der Angriff funktioniert.

So funktioniert der Angriff

Laut dem Forscher liegt das Problem in der Funktion WapPushOverSms.decodeWapPdu, die einen Wert für die Headerlänge nicht korrekt prüft. Wird eine präparierte, acht Byte große WAP-Push-Nachricht ohne Bereichsprüfung in eine vorzeichenbehaftete 32-Bit-Ganzzahl umgewandelt, entsteht ein negativer Wert. Das löst eine NegativeArraySizeException aus und beendet den Prozess com.android.phone, der für den Mobilfunk zuständig ist.

Da Android die Nachricht verarbeitet, bevor sie im Posteingang landet, lässt sich die Ursache des Absturzes kaum erkennen. Der Absturz unterbricht außerdem laufende Gespräche, auch Notrufe.

Die Abstürze können sich wiederholen, etwa wenn der Mobilfunkanbieter die schädliche Nachricht erneut zustellt oder Android bereits gespeicherte Nachrichten verarbeitet. Entfernen lassen sich solche Nachrichten manuell über die Android Debug Bridge (ADB), was jedoch nur technisch versierten Nutzern zuzumuten ist.

Wer betroffen ist

Google hat die Lücke laut Blah in den Android-Sicherheitsupdates vom Oktober 2026 für die Versionen 14 bis 17 geschlossen. Geräte mit den älteren Versionen Android 12 und 13 bleiben anfällig.

Blah hat zudem einen Proof-of-Concept-Exploit veröffentlicht, der solche Nachrichten von einem anderen Android-Gerät aus versenden kann. Das senkt die Hürde für Missbrauch. Nutzern wird empfohlen, die neuesten Sicherheitsupdates einzuspielen. Wer ein Gerät mit Android 12 oder 13 besitzt, hat derzeit keinen Patch zur Verfügung.