| HOME | REVIEWS | CONTACT | NEWS ARCHIV |
|
31.10.26 | Lesezeit: 4 Min. | Autor: FM
Unsichtbare SMS des Todes lässt Android-Smartphones abstürzen und in Neustartschleifen geraten
Achtung: Eine Android-Sicherheitslücke ermöglicht unbemerkten SMS-Angriff auf Versionen 12 bis 17 (Bild: Pixabay.com)
Eine unsichtbare SMS kann Android-Smartphones ohne Zutun des Nutzers zum Absturz bringen und sie in eine endlose Neustart-Schleife zwingen. Google hat die Sicherheitslücke bereits geschlossen, doch ältere Geräte bleiben wahrscheinlich gefährdet.
31.10.26 - Eine neue Sicherheitslücke kann Android-Smartphones allein durch den Empfang einer manipulierten SMS zum Absturz bringen. Das meldet das IT-Fachportal Heise.de. Der Sicherheitsforscher Mark Blaszczyk machte den Fehler am Donnerstag öffentlich. Betroffen sind nach seinen Angaben Android-Versionen 12 bis 17. Besonders gefährlich ist, dass der Nutzer nichts anklicken oder öffnen muss.
Der Angriff läuft über eine manipulierte WAP-Push-SMS. Diese Nachricht erscheint nicht im normalen Posteingang. Android verarbeitet sie im Hintergrund. Genau dort entsteht das Problem. Die Nachricht kann den Telefoniedienst com.android.phone zum Absturz bringen. Dadurch können laufende Gespräche abbrechen. Das gilt auch für Notrufe.
Blaszczyk spricht von einem ferngesteuerten Zero-Click-Denial-of-Service-Angriff. Technisch steckt ein ungeprüfter Typecast dahinter. Ein manipulierter Längenwert im WSP-Header sorgt für eine negative Arraygröße. Dadurch entsteht eine unbehandelte NegativeArraySizeException.
Besonders kritisch ist das Verhalten nach einem Neustart: Android versucht, dieselbe Nachricht erneut zu verarbeiten. So kann eine Reboot-Schleife entstehen. In Tests genügten rund 20 Nachrichten, um ein Smartphone praktisch schrottreif zu machen. Noch problematischer: Mobilfunkanbieter können nicht bestätigte Nachrichten erneut zustellen. Dadurch führte bereits eine einzige SMS in Tests zu Ausfällen von bis zu einer Woche.
Blaszczyk konnte die Schwachstelle nach eigenen Angaben auf einem Pixel 9 und mehreren Samsung-Galaxy-Geräten zuverlässig nachstellen. Zur Wiederherstellung kann Android Debug Bridge nötig sein. Die Option zum vollständigen Löschen der Daten sollte im Wiederherstellungsmodus nicht gewählt werden. Sonst gehen sämtliche Inhalte verloren.
Google wurde bereits am 5. Mai informiert. Die Lücke trägt die Kennung CVE-2026-58882. Ein Patch entstand Mitte Juni. Für Android 14 bis 17 steht die Korrektur inzwischen bereit und soll im November-Sicherheitsbulletin als kritisch eingestuft werden. Android 12 und 13 werden von Google regulär nicht mehr unterstützt. Diese Geräte bleiben daher wahrscheinlich gefährdet, wenn der jeweilige Hersteller keinen eigenen Patch veröffentlicht.