SMS: Zero-Click-Lücke legt Android-Smartphones lahm

Eine einzelne präparierte SMS kann derzeit Android-Smartphones der Versionen 12 bis 17 in eine endlose Neustartschleife versetzen und sogar aktive Telefonate unterbrechen. Der Sicherheitsforscher Mark Blaszczyk hat die als "SMS des Todes" bekannt gewordene Schwachstelle veröffentlicht, die inzwischen die Kennung CVE-2026-58882 trägt. Der Angriff läuft ohne jede Nutzerinteraktion ab, weshalb von einem Zero-Click-Denial-of-Service mit anhaltender Wirkung die Rede ist. Betroffene Geräte zeigen nach etwa 90 Sekunden einen Wiederherstellungsmodus an und fordern zum Löschen der Daten auf. Wer dort "Wipe data" auswählt, verliert alle persönlichen Dateien. Die schädlichen Nachrichten selbst tauchen nicht im Posteingang auf.

Auslöser ist eine fehlerhafte WAP-Push-SMS, ein eigentlich veraltetes Verfahren, mit dem Mobilfunkbetreiber versteckte Anweisungen an Geräte schicken. Ein manipulierter Längenwert im WSP-Header führt zu einer negativen Arraygröße und löst eine unbehandelte NegativeArraySizeException im Telefoniedienst com.android.phone aus. Dadurch brechen laufende Gespräche ab, auch Notrufe sind betroffen. Eine Wiederherstellung ohne Datenverlust gelingt laut Blaszczyk nur über eine PC-Verbindung mit der Android Debug Bridge, kurz ADB. Schon rund 20 solcher Nachrichten können ein Smartphone praktisch unbrauchbar machen, und weil Netzbetreiber unbestätigte Nachrichten erneut zustellen, hielt in Tests bereits eine einzige SMS bis zu eine Woche lang Ausfälle aufrecht. Blaszczyk konnte den Fehler vollständig reproduzieren, unter anderem auf einem Pixel 9 und mehreren Samsung-Galaxy-Geräten.

Google hat inzwischen einen Patch für Android 14 bis 17 bereitgestellt, der im kommenden November-Bulletin als kritisch eingestuft werden soll. Die Korrektur war offenbar schon im Juli über Sicherheitsvorschauen verfügbar und wurde im Oktober in den Android Open Source Project übertragen. Für Android 12 und 13 ist dagegen kein Fix zu erwarten, da Google diese Versionen nicht mehr unterstützt. Hersteller können die Lücke auf älteren Geräten theoretisch selbst schließen, doch darauf verlassen sollte sich niemand. Zunächst hatte Google den Fehlerbericht als "Will Not Fix" geschlossen. Das GrapheneOS-Projekt vermutet auf X eine interne Fehlkommunikation und hält es für möglich, dass der Bericht versehentlich statt als Duplikat als nicht behebbar markiert wurde.