Eine einzige Kurznachricht, die niemand zu sehen bekommt, reicht aus: Sie bringt den Telefoniedienst eines Android-Smartphones zum Absturz, trennt laufende Gespräche – auch Notrufe – und kann das Gerät in eine Neustartschleife schicken, aus der es nur mit Fachwissen oder einem Zurücksetzen herauskommt. Der Sicherheitsforscher, der die Lücke am 29. Oktober 2026 veröffentlicht hat, nennt sie „SMS of Death“. Geführt wird sie laut Fachpresse als CVE-2026-58882.
Steckbrief der Lücke
| Merkmal | Angabe |
|---|---|
| Bezeichnung | SMS of Death |
| Kennung | CVE-2026-58882 (laut heise und BleepingComputer) |
| Art | Dienstverweigerung aus der Ferne, ohne Zutun des Opfers, mit anhaltender Wirkung |
| Angriffsweg | Eine präparierte WAP-Push-Nachricht, verschickt als Daten-SMS |
| Betroffener Dienst | Telefoniedienst von Android (Prozess com.android.phone) |
| Sichtbar für das Opfer | Nein – die Nachricht erscheint nicht im Posteingang, der Absender wird nicht angezeigt |
| Betroffene Versionen | Android 12 bis 17 laut Forscher; nachgestellt hat er den Absturz auf Android 12 bis 16 |
| Behoben | Android 14 bis 17 mit der Sicherheitspatch-Ebene 2026-10-01 oder neuer |
| Ohne Korrektur | Android 12 und 13 – Google liefert für diese Versionen keine Updates mehr |
So funktioniert der Angriff
WAP Push ist ein altes, aber in jedem Android-Gerät noch vorhandenes Verfahren: Mobilfunkanbieter verschicken darüber zum Beispiel Einstellungen für mobile Daten oder MMS. Solche Nachrichten kommen als Daten-SMS an einen festen Anschlusspunkt, den Port 2948, und werden vom Betriebssystem im Hintergrund verarbeitet – bevor irgendetwas im Nachrichtenprogramm erscheint.
Genau dort liegt der Fehler. Die Funktion decodeWapPdu im Telefonie-Baustein WapPushOverSms liest aus dem Kopf der Nachricht eine Längenangabe und wandelt sie ohne Bereichsprüfung in eine vorzeichenbehaftete 32-Bit-Zahl um. Ein Angreifer setzt den Wert so, dass dabei eine negative Zahl entsteht. Android versucht, mit dieser negativen Länge Speicher anzulegen, löst eine NegativeArraySizeException aus – und weil niemand diesen Fehler abfängt, stürzt der gesamte Telefoniedienst com.android.phone ab.
Das allein wäre ein kurzer Aussetzer von ein bis zwei Sekunden. Gefährlich wird es durch zwei Eigenschaften des Systems: Die Nachricht bleibt in der Warteschlange für eingehende SMS liegen und wird bei jedem Start erneut verarbeitet. Und Mobilfunknetze stellen Nachrichten, deren Empfang das Gerät nicht bestätigt hat, später noch einmal zu. Aus einem Absturz wird so eine Kette von Abstürzen.
Ein Angreifer schickt eine präparierte WAP-Push-Nachricht als Daten-SMS an die Telefonnummer.
Unterbrochen hätte es: Gegen den Versand selbst gibt es auf dem Gerät keine Einstellung. Entscheidend ist der Patch-Stand.
Android verarbeitet die Nachricht im Hintergrund, bevor sie im Posteingang landen könnte.
Unterbrochen hätte es: Ab Sicherheitspatch-Ebene 2026-10-01 fängt Android den Fehler ab und löscht die Nachricht.
Der Telefoniedienst stürzt ab: kein Netz, laufende Gespräche brechen ab, auch Notrufe.
Unterbrochen hätte es: Für Bereitschafts- und Alleinarbeitsplätze einen zweiten Weg für Notrufe festlegen.
Die Nachricht bleibt gespeichert und wird nach jedem Start erneut verarbeitet; das Netz stellt sie erneut zu.
Unterbrochen hätte es: Ungepatchte Geräte erkennen und austauschen, bevor es passiert.
Nach wiederholten Abstürzen startet Android rund alle 90 Sekunden in den Wiederherstellungsmodus und bietet an, alle Daten zu löschen.
Unterbrochen hätte es: Nicht löschen. Das Gerät an die IT geben; die Daten sind noch da.
Was die Lücke anrichtet
- Jede Nachricht kostet das Gerät ein bis zwei Sekunden Netzverbindung, während der Telefoniedienst neu startet.
- Laufende Telefonate brechen ab – auch Gespräche mit dem Notruf. Android meldet dabei den Abbruchgrund „CS_DEATH“, also den Tod des Telefoniedienstes.
- Weil das Netz unbestätigte Nachrichten erneut zustellt, hat in den Tests des Forschers eine einzige Nachricht bis zu eine Woche lang immer wieder Aussetzer verursacht.
- Rund 20 Nachrichten genügen laut Forscher, um ein ungepatchtes Gerät praktisch unbenutzbar zu machen.
- Auf einem Android-12-Gerät startete das Telefon nach dem Angriff etwa alle 90 Sekunden in den Wiederherstellungsmodus. Zurück ging es nur über ein Zurücksetzen.
- Das Opfer sieht weder die Nachricht noch den Absender. Für Anwender sieht es aus wie ein Defekt.
Der Forscher hat den Fehler nach eigener Angabe in jedem Versuch nachstellen können, unter anderem auf einem Google Pixel 9 mit dem Stand von April 2026 sowie auf verschiedenen Samsung-Galaxy-Geräten, darunter Modelle der A-Reihe. Nach allem, was veröffentlicht ist, werden bei dem Angriff keine Daten ausgelesen; es geht um Erreichbarkeit. Für ein Unternehmen ist das trotzdem ernst: Ein Außendienst ohne Telefon, ein Bereitschaftsdienst ohne Netz oder ein Handy, das nach einem vorschnellen Zurücksetzen ohne Daten dasteht, kostet Zeit und Geld.
Notrufe: der heikelste Punkt
Dass ein laufender Notruf abbricht, ist der Teil der Lücke, der über den Ärger mit einem kaputten Handy hinausgeht. Wer allein arbeitet, Rufbereitschaft hat oder als Ersthelfer auf das Diensthandy angewiesen ist, braucht in dieser Zeit einen zweiten Weg: ein gepatchtes Zweitgerät, ein Festnetztelefon in Reichweite oder eine abgestimmte Vertretung. Das gilt so lange, bis feststeht, dass alle Geräte dieser Gruppe den Oktober-Patch tragen.
Welche Geräte geschützt sind – und welche nicht
| Android-Version | Korrektur von Google | Was zu tun ist |
|---|---|---|
| Android 17, 16, 15, 14 | Ja, ab Sicherheitspatch-Ebene 2026-10-01 | Update installieren, neu starten, Patch-Ebene prüfen |
| Android 13, 12 | Nein – diese Versionen erhalten von Google keine Updates mehr | Beim Gerätehersteller nachsehen, ob er selbst nachbessert; sonst Austausch planen |
| Android 11 und älter | Nein | Austauschen – diese Geräte sind auch aus anderen Gründen nicht mehr tragbar |
Wann das Oktober-Update auf einem bestimmten Gerät ankommt, entscheiden Gerätehersteller und teils der Mobilfunkanbieter. Google-Pixel-Geräte erhalten es in der Regel zuerst, andere Hersteller folgen in unterschiedlichem Abstand. Maßgeblich ist deshalb nicht der Kalender, sondern die Sicherheitspatch-Ebene, die das Gerät selbst anzeigt.
Chronik: fast sechs Monate bis zur Veröffentlichung
- 5. Mai 2026Der Forscher meldet die Lücke über das Belohnungsprogramm von Google für Android und Geräte.
- DanachLaut heise wird die Meldung zunächst als „wird nicht behoben“ geschlossen. Das Projekt GrapheneOS spricht von einer fehlerhaften Bearbeitung der Meldung bei Google.
- 15. Juni 2026Bei Google entsteht die Korrektur „Fix remote DoS in decodeWapPdu“.
- Juli 2026GrapheneOS übernimmt die Korrektur nach eigener Angabe aus einer Vorabversion der Sicherheitsupdates.
- 5. August 2026Die Korrektur wird in den Android-Quellcode übernommen, zunächst nicht öffentlich.
- Oktober 2026Die Korrektur kommt mit dem Sicherheitsupdate für Android 14 bis 17. Im Oktober-Bulletin vom 5. Oktober steht die Lücke nicht.
- 29. Oktober 2026Der Forscher veröffentlicht seine Analyse; ab dem 30. Oktober berichten heise und BleepingComputer.
Laut heise soll Google die Lücke im November-Bulletin nachtragen und als kritisch einstufen. Bis zum Stand dieses Beitrags lag dafür keine Veröffentlichung von Google vor. Auch eine Stellungnahme von Google haben wir nicht gefunden.
Was Google repariert hat
Die Korrektur ist im Android-Quellcode öffentlich einsehbar und überschaubar: Vier Dateien ändern sich, zwei davon sind Tests. Android fängt Laufzeitfehler bei der Verarbeitung von WAP-Push-Nachrichten jetzt ab, statt den Telefoniedienst sterben zu lassen, schreibt eine Warnung ins Protokoll und löscht die schadhafte Nachricht aus dem Zwischenspeicher für eingehende SMS. Damit endet auch die Wiederholung nach jedem Neustart. Die eigentliche Ursache – die fehlende Bereichsprüfung – führt also nicht mehr zum Absturz.
Android-Geräte prüfen und den Sicherheitspatch einspielen
Für ein einzelnes Gerät dauert die Prüfung eine Minute. Bei Firmenhandys lohnt sich der Weg über die zentrale Geräteverwaltung.
- Sicherheitspatch-Ebene ablesen. In den Einstellungen steht sie je nach Hersteller unter „Sicherheit“, „Telefoninfo“ oder „Softwareinformationen“, meist als „Android-Sicherheitsupdate“ oder „Sicherheitspatch-Ebene“. Ein Datum ab dem 1. Oktober 2026 bedeutet: Diese Lücke ist geschlossen.
- Update installieren und neu starten. Zeigt das Gerät ein älteres Datum, nach Systemupdates suchen, installieren und neu starten. Erst nach dem Neustart ist die Korrektur aktiv.
- Android-Version prüfen. Läuft auf dem Gerät Android 12 oder 13, gibt es von Google keine Korrektur. Beim Gerätehersteller nachsehen, ob er selbst nachbessert; sonst den Austausch planen – zuerst bei Geräten für Bereitschaft, Außendienst und Alleinarbeit.
- Firmengeräte zentral prüfen. In einer Geräteverwaltung wie Microsoft Intune lässt sich für Android-Enterprise-Geräte eine Mindest-Sicherheitspatch-Ebene festlegen, im Format JJJJ-MM-TT, hier 2026-10-01. Geräte darunter gelten als nicht konform und können über den bedingten Zugriff von Firmendaten getrennt werden, bis sie aktualisiert sind.
- Den Ernstfall festlegen. Allen Mitarbeitenden sagen, was bei einem Handy zu tun ist, das ständig neu startet: nicht zurücksetzen, sondern die IT anrufen. Für Bereitschaftsdienste einen zweiten Weg für Notrufe benennen.
Wenn ein Handy schon in der Neustartschleife hängt
Die schadhafte Nachricht liegt auf dem Gerät. Ziel ist, sie zu entfernen, ohne alle Daten zu verlieren.
- Nicht „Daten löschen“ wählen. Der Wiederherstellungsmodus bietet nach einigen Neustarts an, alle Daten zu löschen. Das entfernt zwar auch die Nachricht, aber eben alles andere ebenso. Erst die anderen Wege versuchen.
- Erreichbarkeit sichern. Die IT informieren und ein Ersatzgerät ausgeben. Die SIM-Karte nur in ein Gerät mit Sicherheitspatch-Ebene ab 2026-10-01 stecken – stellt das Netz die Nachricht erneut zu, trifft sie sonst auch das Ersatzgerät.
- Nachricht per ADB entfernen. Über die Android Debug Bridge lassen sich die schadhaften WAP-Push-Einträge während des Starts gezielt aus der Warteschlange für eingehende SMS löschen; der Weg stammt aus der Veröffentlichung des Forschers. Das geht nur, wenn das USB-Debugging eingeschaltet und der Rechner zugelassen ist. Auf vollständig verwalteten Firmenhandys ist das USB-Debugging laut Microsoft ohnehin gesperrt – dort bleibt meist nur der nächste Schritt.
- Telefoniedaten zurücksetzen. Als letzter Ausweg vor dem vollständigen Zurücksetzen nennt der Forscher das Löschen der Daten des Telefonie-Speichers. Dabei gehen alle SMS und MMS sowie die Zugangsdaten für mobile Daten verloren, die übrigen Daten bleiben.
- Gerät neu aufsetzen und aktualisieren. Hilft nichts davon, das Gerät zurücksetzen, über die Geräteverwaltung neu einrichten und vor dem Einlegen der SIM-Karte auf den neuesten Patch-Stand bringen.
Lehren für Geräteverwaltung und Patch-Management von Firmenhandys
Die Lücke ist weniger wegen ihrer Technik lehrreich als wegen der Zeitachse. Zwischen der Meldung an Google und dem Update lagen rund fünf Monate, zwischen Update und Veröffentlichung nur wenige Wochen. Wer seine Geräte zügig aktualisiert, war geschützt, bevor die Lücke öffentlich wurde. Wer Updates schleifen lässt oder Geräte nutzt, die keine mehr bekommen, steht jetzt mit einer öffentlich beschriebenen Angriffsmethode da.
- Den Bestand kennen: Welche Geräte gibt es, welche Android-Version und welche Patch-Ebene haben sie? Ohne zentrale Geräteverwaltung beantwortet das niemand verlässlich.
- Mindest-Patch-Ebene als Regel: Eine Compliance-Richtlinie macht aus „bitte aktualisieren“ eine Bedingung für den Zugriff auf Firmendaten.
- Altgeräte ausmustern: Android 12 und 13 bekommen keine Sicherheitsupdates von Google mehr. Diese Lücke wird nicht die letzte sein.
- Erreichbarkeit planen: Für Rollen, die auf das Telefon angewiesen sind, gehört ein zweiter Weg in den Notfallplan.
- Anwender vorbereiten: Ein Gerät, das ständig neu startet, ist ein Fall für die IT – nicht für den Knopf „Daten löschen“.
In unserer Betreuung verwalten wir Firmenhandys zentral, setzen Mindest-Patch-Ebenen als Compliance-Regel, melden Geräte ohne Update und planen den Austausch von Altgeräten. Wenn ein Gerät dennoch betroffen ist, kümmern wir uns um Ersatz und Wiederherstellung.
Häufige Fragen
Was ist die „SMS of Death“?
Eine Lücke im Telefoniedienst von Android, geführt als CVE-2026-58882. Eine präparierte WAP-Push-Nachricht, verschickt als Daten-SMS, bringt den Dienst zum Absturz, trennt laufende Gespräche und kann das Gerät in eine Neustartschleife schicken.
Muss ich die Nachricht öffnen, damit etwas passiert?
Nein. Android verarbeitet die Nachricht im Hintergrund, bevor sie im Posteingang erscheinen könnte. Sie ist für den Empfänger nicht sichtbar, und der Absender wird nicht angezeigt.
Welche Android-Versionen sind betroffen?
Laut Forscher Android 12 bis 17; nachgestellt hat er den Absturz auf Android 12 bis 16. Android 14 bis 17 sind ab der Sicherheitspatch-Ebene 2026-10-01 geschützt, Android 12 und 13 erhalten von Google keine Korrektur.
Wie erkenne ich, ob mein Handy geschützt ist?
In den Einstellungen unter „Sicherheit“, „Telefoninfo“ oder „Softwareinformationen“ steht die Sicherheitspatch-Ebene. Ein Datum ab dem 1. Oktober 2026 bedeutet, dass diese Lücke geschlossen ist – vorausgesetzt, das Gerät läuft mit Android 14 oder neuer.
Können Angreifer damit Daten stehlen?
Nach allem, was veröffentlicht ist, nein. Die Lücke legt den Telefoniedienst lahm; sie öffnet keinen Zugriff auf Daten. Gefährlich ist der Ausfall – bis hin zu abgebrochenen Notrufen – und ein vorschnelles Zurücksetzen, bei dem Daten verloren gehen.
Sind iPhones betroffen?
Nein. Die Lücke steckt im Telefonie-Baustein von Android. iPhones verwenden diesen Code nicht.
Mein Handy startet ständig neu. Was soll ich tun?
Im Wiederherstellungsmodus nicht „Daten löschen“ wählen und die IT informieren. Die Nachricht lässt sich unter Umständen per ADB entfernen; als letzter Ausweg vor dem Zurücksetzen bleibt das Löschen der Telefoniedaten, bei dem nur SMS, MMS und die Zugangsdaten für mobile Daten verloren gehen.
Hilft es, die SIM-Karte in ein anderes Handy zu stecken?
Nur, wenn das andere Gerät die Sicherheitspatch-Ebene ab 2026-10-01 hat. Das Mobilfunknetz kann die Nachricht erneut zustellen und träfe sonst auch das Ersatzgerät.
Wie stellen Unternehmen sicher, dass alle Firmenhandys geschützt sind?
Mit einer zentralen Geräteverwaltung. In Microsoft Intune lässt sich für Android-Enterprise-Geräte eine Mindest-Sicherheitspatch-Ebene als Compliance-Regel festlegen; Geräte darunter gelten als nicht konform und können von Firmendaten getrennt werden.
Verwandte Themen: Wer hier weiterdenkt, liest bei PHP-Sicherheitslücke, Schwachstellenmanagement und PHP2Shell weiter.
Im Text erwähnt
Quellen
- SMS of Death – Veröffentlichung des Forschers · Mark B. (Sicherheitsforscher)
- Fix remote DoS in decodeWapPdu (Commit 735d967) · Android Open Source Project
- Android Security Bulletin – October 2026 · Google
- “SMS of Death”: Security flaw crashes Android phones · heise online
- New Android SMS of Death exploit can remotely crash unpatched phones · BleepingComputer
- Android: SMS des Todes lässt Smartphones abstürzen · GoogleWatchBlog
- Android Enterprise compliance settings in Microsoft Intune · Microsoft
