Mark Blaszczyk deckt kritische Android-Schwachstelle SMS des Todes auf

Ein Sicherheitsforscher hat am 29. Oktober 2026 eine kritische, als SMS des Todes bekannte Zero-Click-Schwachstelle in Android aufgedeckt. Eine einzige manipulierte WAP-Push-Nachricht bringt den Telefondienst com.android.phone weltweit auf Geräten der Versionen 12 bis 17 zum Absturz, beendet laufende Anrufe und kann Handys in eine permanente Neustart-Schleife treiben.

Wie der Zero-Click-Angriff auf den Telefondienst abläuft

Der Sicherheitsforscher Mark Blaszczyk machte die Schwachstelle am 29. Oktober 2026 unter dem Namen „SMS des Todes“ öffentlich. Der Angriff erfordert keinerlei Interaktion des Nutzers und arbeitet im verborgenen Hintergrund. Die schadhafte Nachricht wird gezielt über den Port 2948 als WAP-Push-Paket übertragen und taucht im regulären Posteingang der SMS-Anwendung überhaupt nicht auf (laut Berichten von Cyberpress).”

Nach Angaben des Forschers handelt es sich um einen ferngesteuerten, Zero-Click-Denial-of-Service-Angriff mit anhaltender Wirkung. Die unsichtbare Daten-Nachricht wird im Systemhintergrund verarbeitet, wobei eine präparierte SMS ausreicht, um die Telefonfunktion lahmzulegen, laufende Anrufe zu beenden und Geräte in eine Neustart-Schleife zu zwingen. Auch Notrufe können dabei blockiert werden.

Verantwortlich für den Absturz ist ein interner Verarbeitungsfehler beim Auslesen von Nachrichten-Headern. Die betroffene Routinenkomponente WapPushOverSms.decodeWapPdu() liest einen Längenwert aus und castet diesen harschen Wert ohne jegliche Plausibilitätsprüfung direkt in einen vorzeichenbehafteten 32-Bit-Integer. Ein präpariertes Fünf-Byte-Paket mit der Hexadezimalfolge 88 80 80 80 00 erzeugt dabei den Wert 0x80000000, welcher nach der Typumwandlung exakt -2147483648 entspricht.

Der darauffolgende Versuch des Systems, ein Byte-Array mit dieser negativen Größe anzulegen, wirft auf dem Haupt-Thread eine ungefangene NegativeArraySizeException. Der dazugehörige Systemprozess com.android.phone bricht sofort zusammen, kappt jegliche Mobilfunkverbindung und beendet augenblicklich alle aktiven Gespräche, einschließlich Notrufe an die Nummer 112.

Testreihen und die Gefahr permanenter Bootloops

In Praxistests auf aktuellen Google-Pixel- und Samsung-Galaxy-Geräten lag die Trefferquote des Exploits bei glatten 100 Prozent (so das im Labor erstellte Messprotokoll). Eine einzelne Nachricht führt zu einer ein- bis zweisekündigen Netztrennung, bricht aber bestehende Verbindungen ab.

Da Mobilfunkanbieter unbestätigte Nachrichten standardmäßig immer wieder neu zustellen, können Angreifer durch wiederholten Versand erheblichen Schaden anrichten. Rund 20 solcher Gift-Pakete genügen, um das Betriebssystem massiv zu beeinträchtigen (wie Android Authority berichtet). Die präparierten Nachrichten verbleiben in der internen Rohdaten-Warteschlange (content://sms/raw) und werden bei jedem Neustart erneut verarbeitet.

Infolgedessen geraten betroffene Smartphones in eine Endlosschleife, in der der integrierte Schutzmechanismus RescueParty das Telefon alle 90 Sekunden in den Wiederherstellungsmodus zwingt. Dort werden Nutzer mit der Option zum vollständigen Zurücksetzen des Geräts konfrontiert, was unweigerlich zum Verlust aller persönlichen Daten führt.

Reaktionen von Google und das Problem der Fragmentierung

Der Sicherheitsforscher Mark Blaszczyk hatte den Fehler bereits am 5. Mai 2026 an Google gemeldet. Die Meldung wurde vonseiten des Unternehmens zunächst als Nicht-Sicherheits지요 eingestuft und vorerst geschlossen, was zu einer öffentlichen Offenlegung am 29. Oktober führte (bestätigt von Android Authority).

Nach eigenen Angaben hat Blaszczyk Google am 5. Mai über die Schwachstelle informiert. Laut dem Forscher erfülle dies nach den Regeln des Vulnerability Reward Programs (VRP) von Google die Definition eines „Destructive Remote DoS“. GrapheneOS klärte später auf X auf, dass Google einen Patch bereits im Juli über Sicherheitsvorschauen bereitgestellt hatte – also Monate vor der öffentlichen Bekanntgabe durch den Forscher. Die Schwachstelle ist als CVE-2026-58882 mit kritischem Schweregrad gelistet und wurde im November-Sicherheitsbulletin aufgenommen.”

Entgegen der ersten Ablehnung hatte Google intern bereits am 15. Juni 2026 einen Patch entwickelt, der auftretende RuntimeExceptions abfängt und schadhafte Tracker aus der Datenbank entfernt. Dieser Fix wurde im Rahmen des Sicherheitsupdates für Oktober 2026 für Android-Versionen 14 bis 17 bereitgestellt.

Geräte mit den älteren Betriebssystemversionen Android 12 und 13 erhalten laut Branchenberichten keine offiziellen Aktualisierungen mehr und bleiben dauerhaft angreifbar, sofern die jeweiligen Hersteller oder Mobilfunkanbieter nicht eigenständig eingreifen (meldet heise online). Ein Fix für Android 12 und 13 ist somit nicht zu erwarten.

Notfall-Maßnahmen zur Datenrettung bei betroffenen Geräten

Im Recovery-Menü sollte keinesfalls ein Werksreset (Wipe Data) gewählt werden. Stattdessen lässt sich der Loop über den SIM-Karten-Kniff oder eine gezielte ADB-Bereinigung stoppen.

• SIM-Karte entfernen: Die physische SIM-Karte sofort aus dem betroffenen Android-Gerät entfernen und in ein einfaches Tastentelefon oder ein iPhone einlegen, um die automatische Neuzustellung durch das Mobilfunknetz zu stoppen.
• ADB-Bereinigung nutzen: Das betroffene Smartphone per USB an einen Computer anschließen und die schadhaften Einträge im Recovery-Modus manuell über die Android Platform Tools (ADB) aus dem Speicher löschen.

Bei Geräten mit fest verbauten eSIMs gestaltet sich dieser Rettungsweg deutlich schwieriger. Das Verbinden des Geräts mit einem Computer, um die Nachrichten manuell zu löschen, ist für den Durchschnittsnutzer kaum eine realistische Lösung. Experten raten allen Nutzern kompatibler Systeme, umgehend die installierten Sicherheitspatches zu überprüfen und verfügbare Aktualisierungen einzuspielen.

Mehr zu Schwachstelle: CISA stuft Brotli-Schwachstelle als aktiv ausgenutzt ein