Eine kritische Android-Schwachstelle mit der Bezeichnung CVE-2026-58882 kann es einem Angreifer ermöglichen, ein Telefon aus der Ferne zum Absturz zu bringen, indem er eine speziell präparierte SMS sendet. Dafür ist keine Interaktion des Empfängers erforderlich, auch nicht das Öffnen der Nachricht.
Der Sicherheitsforscher Mark Blah beschrieb das Problem als Zero-Click-Schwachstelle zur Verhinderung von Diensten und gab ihr den Spitznamen „SMS des Todes“. Die Schwachstelle beruht auf einer unzureichenden Validierung eines Header-Längenwerts in Androids Funktion WapPushOverSms.decodeWapPdu. Eine fehlerhafte, acht Byte große WAP-Push-Nachricht, die an Port 2948 gesendet wird, kann Android dazu bringen, einen negativen Wert für die Speicherzuweisung zu verarbeiten. Dadurch wird ein Fehler ausgelöst, der den Prozess com.android.phone zum Absturz bringt.
Da dieser Prozess Mobilfunkfunktionen verwaltet, kann ein betroffenes Gerät die mobile Verbindung verlieren und Anrufe abbrechen. Die Schwachstelle kann auch die Notfallkommunikation beeinträchtigen. Android verarbeitet diese Nachrichten, bevor sie den Posteingang erreichen, sodass Opfer möglicherweise keine Benachrichtigung oder keinen Hinweis darauf erhalten, dass eine SMS die Störung verursacht hat.
Wiederholte Zustellversuche einiger Mobilfunkanbieter sowie Androids fortgesetzte Versuche, auf dem Gerät gespeicherte Nachrichten zu verarbeiten, können das Problem verlängern. Blah stellte fest, dass das Senden von 20 oder mehr schädlichen Nachrichten ein Gerät in eine Neustartschleife zwingen konnte. Unter Android 12 konnte das Telefon in einen wiederholten Wiederherstellungsmodus wechseln, sodass möglicherweise nur ein Zurücksetzen auf die Werkseinstellungen als praktikable Lösung blieb.
Google identifizierte das Problem zunächst in mehreren Android-Versionen und behob es in unterstützten Versionen von Android 14 bis Android 17. Die in den Android-Sicherheitsupdates vom Oktober 2026 enthaltene Korrektur fängt beim Verarbeiten fehlerhafter Nachrichten erzeugte Ausnahmen ab und entfernt diese Nachrichten aus der SMS-Datenbank, um wiederholte Abstürze zu verhindern.
Geräte, deren Supportdauer abgelaufen ist, erhalten den Patch jedoch nicht und bleiben dauerhaft gefährdet. Android-Hersteller veröffentlichen Updates zudem nach unterschiedlichen Zeitplänen. Nutzer sollten daher verfügbare Sicherheitsupdates so bald wie möglich installieren.
Für die Schwachstelle wurde ein Proof of Concept veröffentlicht. Es gibt eine Methode, um die schädliche Nachricht mithilfe der Android Debug Bridge zu entfernen, dafür sind jedoch technische Kenntnisse und die Verbindung des Geräts mit einem Computer erforderlich.
Quellen: TechRadar.