Der Sicherheitsforscher Mark Blah hat einen Proof-of-Concept-Exploit für eine Android-Lücke veröffentlicht, die den Mobilfunkprozess eines Telefons zum Absturz bringen und Anrufe trennen kann, auch Notrufe. BleepingComputer berichtete darüber am 31. Oktober. Die Schwachstelle trägt den Namen „SMS of Death“ und wird als CVE-2026-58882 geführt. Sie erfordert keinerlei Interaktion des Empfängers: Eine speziell präparierte Textnachricht löst sie aus, noch bevor sie im SMS-Posteingang ankommt.
Blah zufolge hat Google die Lücke für Android 14 bis 17 in den Sicherheitsupdates vom Oktober 2026 geschlossen. Die Kennung taucht jedoch nicht im Oktober-Sicherheitsbulletin von Google auf, wie der BleepingComputer-Bericht anmerkt. Geräte mit Android 12 und 13 bleiben anfällig, weil sie den Fix nicht erhalten haben, so der Forscher.
Die praktischen Folgen reichen über einen einzelnen abgebrochenen Anruf hinaus. Schädliche Nachrichten können wiederholte Abstürze verursachen. Blahs Tests zeigten zudem, dass eine Folge von Nachrichten Telefone in Neustartschleifen festhalten konnte.
Wie eine Textnachricht den Mobilfunkdienst stört
Die Schwachstelle sitzt in WapPushOverSms.decodeWapPdu, einer Android-Funktion, die WAP-Push-Nachrichten verarbeitet, die über SMS zugestellt werden. Sie prüft einen Header-Längenwert nicht ausreichend, bevor sie diesen zur Speicherreservierung verwendet.
Der Exploit sendet diese fehlerhafte acht Byte lange Nachricht als Daten-SMS an Port 2948:
01 06 88 80 80 80 00 BE
Bei der Verarbeitung wird der Header-Längenwert bei der Umwandlung in eine vorzeichenbehaftete 32-Bit-Ganzzahl ohne Grenzprüfung zu -2147483648. Android versucht dann, mit diesem negativen Wert Speicher zu reservieren. Dabei wird eine NegativeArraySizeException ausgelöst, die com.android.phone zum Absturz bringt, also den Prozess, der für die Mobilfunkfunktionen zuständig ist.
Dieser Absturz unterbricht die mobile Verbindung und laufende Anrufe. Da die Verarbeitung vor der Zustellung an den Posteingang erfolgt, sieht der Empfänger keine Nachricht, die die Störung erklärt.
Blah sagte, Abstürze können sich wiederholen, wenn ein Mobilfunkanbieter die schädliche Nachricht erneut zustellt oder wenn Android bereits auf dem Gerät gespeicherte schädliche Nachrichten verarbeitet. In den Tests konnten 20 schädliche Nachrichten Neustartschleifen auslösen. Ein Gerät mit Android 12 startete etwa alle 90 Sekunden in den Wiederherstellungsmodus neu und musste auf die Werkseinstellungen zurückgesetzt werden, um wieder zu funktionieren.
Der veröffentlichte Proof of Concept kann die schädlichen Nachrichten auch von einem anderen Android-Gerät aus senden.
Updates und Wiederherstellung
Googles Patch mit dem Titel „Fix remote DoS in decodeWapPdu“ fängt Ausnahmen ab, die bei der Verarbeitung fehlerhafter Nachrichten durch Android auftreten, so der Bericht. DoS steht für Denial of Service, also die Beeinträchtigung der Verfügbarkeit eines Systems. Der Patch löscht außerdem schädliche Nachrichten aus der SMS-Datenbank, damit sie keine Abstürze mehr auslösen können.
Ein GitHub-Mitwirkender namens Sakis fand eine Möglichkeit, die Nachrichten über die Android Debug Bridge (kurz ADB) zu entfernen, ein Werkzeug, mit dem man von einem Computer aus mit einem Android-Gerät kommunizieren kann. Diese Methode setzt Zugriff auf einen Computer und fortgeschrittene technische Kenntnisse voraus.
Da ein funktionierender Exploit nun öffentlich ist, sollten Android-Nutzer die neuesten verfügbaren Sicherheitsupdates installieren, wie BleepingComputer empfiehlt. Unterstützte Geräte erhalten Sicherheitsupdates in der Regel automatisch. Die Verfügbarkeit hängt jedoch vom Hersteller und vom Mobilfunkanbieter ab, und für den Abschluss der Installation kann ein Neustart nötig sein.
