Android-Lücke „SMS des Todes“: Eine unsichtbare Nachricht legt Smartphones lahm

Der Sicherheitsforscher Mark Blaszczyk hat am 29. Oktober 2026 eine Android-Lücke öffentlich gemacht, bei der eine einzige unsichtbare SMS Smartphones lahmlegt. Google hat sie im Oktober-Update nur für Android 14 bis 17 geschlossen. Die Versionen 12 und 13 bleiben laut heise online vom 30. Oktober wohl ungefixt. Dort droht die Neustartschleife.

Wie eine unsichtbare SMS Android lahmlegt

Die „SMS des Todes“ ist eine manipulierte WAP-Push-Nachricht, die laut Blaszczyk den Telefoniedienst „com.android.phone“ von Android zum Absturz bringt. WAP Push ist ein veraltetes System. Netzbetreiber schicken damit versteckte Anweisungen ans Handy. Ein Beispiel ist das Laden einer MMS, schreibt heise online. Die Nachricht landet laut der Projektseite smsofdeath.com nie im Posteingang. Auch die Absendernummer bleibt verborgen. Sie kommt als Daten-SMS über Port 2948 an, dem Kanal für WAP Push.

Blaszczyk spricht von einem ferngesteuerten Zero-Click-Denial-of-Service-Angriff mit anhaltender Wirkung. Zero-Click heißt: Das Opfer muss nichts antippen. Denial of Service heißt: Das Gerät verweigert den Dienst. Laut Projektseite genügt dafür die Rufnummer. Mehr braucht es nicht.

Die Ursache steckt im Code. heise online nennt sie einen ungeprüften Typecast, also eine Umwandlung des Datentyps ohne Kontrolle. Die Stelle heißt WapPushOverSms.decodeWapPdu() und gehört zum Telefonie-Framework des Systems. Laut Projektseite liest der Code die Längenangabe im WSP-Header, den Kopfdaten der Nachricht, als große Zahl. Danach wandelt er sie ohne Bereichsprüfung in eine kleinere Ganzzahl um. Aus einem 5 Byte langen Wert wird minus 2.147.483.648. Mit dieser Größe soll das Programm Speicher anlegen. Das scheitert mit einer NegativeArraySizeException. Niemand fängt den Fehler ab. Ein Speicherfeld mit negativer Größe: Selbst Java hat da Einwände.

Anrufe weg, Notruf weg, Gerät in der Schleife

Der Absturz des Telefoniedienstes unterbricht laut heise online laufende Anrufe, Notrufe eingeschlossen. Dagegen können Betroffene nichts tun. Laut Projektseite enden aktive Gespräche mit der Abbruchursache CS_DEATH. Pro Nachricht fällt das Netz ein bis zwei Sekunden aus. Das klingt harmlos. Laut Forscher bleibt sie in der Warteschlange. Bei jedem Neustart verarbeitet Android sie erneut. Netzbetreiber stellen unbestätigte Nachrichten zudem erneut zu. In seinen Tests reichte eine einzige SMS. Die Ausfälle dauerten bis zu einer Woche. Laut Blaszczyk machen etwa 20 Nachrichten ein Gerät lange unbrauchbar.

Ohne Fix läuft es laut Blaszczyk so ab:

1. Die Nachricht trifft ein, die Telefonie stürzt ab.
2. Beim Neustart wiederholt sich der Absturz.
3. Etwa alle 90 Sekunden startet das Gerät neu.
4. Der Wiederherstellungsmodus verlangt das Löschen der Daten.

Der Auslöser des Neustarts ist laut @sakisdog RescueParty, die Notfallroutine des Systems gegen Absturzschleifen. Sie greift ein, weil die Nachricht bei jedem Start erneut abstürzt. Wer „Wipe data“ wählt, verliert alle Daten. Laut Blaszczyk erfüllt das die Definition eines „Destructive Remote DoS“. Die stammt aus den Regeln von Googles Vulnerability Reward Program, einem Prämienprogramm für Sicherheitslücken. Reproduzieren konnte er den Fehler zu 100 Prozent. Getestet hat er unter anderem ein Pixel 9 mit Firmware vom April 2026. Dazu kamen diverse Samsung-Galaxy-Geräte.

Der Patch fängt den Fehler ab, statt ihn zu verhindern

Googles Korrektur für CVE-2026-58882, die Kennung der Lücke, fängt laut Commit im Quellcode jeden Laufzeitfehler ab. Scheitert die Dekodierung, löscht das System die Nachricht aus der Rohdatenbank. So schlägt sie beim nächsten Start nicht erneut zu. Außerdem schreibt das System eine Warnung ins Protokoll, wenn beim Zustellen der Eintrag zur Nachricht fehlt. Blaszczyk hatte laut smsofdeath.com am Tag seiner Meldung eine Bereichsprüfung vorgeschlagen. Der Commit enthält sie nicht. Dafür bringt er Tests mit. Sie füttern den Code mit unsinnigen Längenangaben. Erwartet wird ein Fehlerstatus statt eines Absturzes. Ein weiterer Test prüft, ob die Nachricht verschwindet. Wer die Warnleuchte überklebt, hat den Motor noch nicht repariert.

Dieses Bild wurde komplett mit KI generiertProviderhiggsfieldModellflux_2 pro 1k 16:9PromptSeveral smartphones with their backs facing up sit in a row on a workbench in a tech repair lab. Beside them lie a pair of tweezers and a small screwdriver under soft daylight from a window. Photorealistic style image. Mood: technical, sober, slightly uneasy. Avoid: watermark, signature, blurry, low quality, distorted, deformed.

Der Zeitplan ist zäh. Blaszczyk informierte Google laut heise online am 5. Mai. Laut Commit schrieb eine Person bei Google die Korrektur am 15. Juni. Eingecheckt wurde sie am 5. August. Im Android Open Source Project (AOSP), dem offenen Quellcode des Systems, landete sie laut heise erst im Oktober. Laut GrapheneOS, einem auf Sicherheit getrimmten Ableger des Systems, lag Googles Patch schon im Juli in den Sicherheitsvorschauen. GrapheneOS baute ihn im selben Monat ein.

Brisant ist der Umgang mit dem Bericht. Google schloss ihn laut heise zunächst als „Will Not Fix“. GrapheneOS vermutet auf X eine interne Fehlkommunikation. Möglicherweise war das Problem intern schon gemeldet, und der Bericht sollte als Duplikat enden. Im Oktober folgte laut heise der Patch. Das Oktober-Bulletin, Googles monatliche Patch-Liste, führt ihn aber nicht auf. Ein früheres Beispiel für Googles Patch-Runde ist der Android-Sicherheitspatch vom Dezember 2025.

Wer nach dem Oktober-Patch weiter offen bleibt

Für Android 12 und 13 liefert Google laut heise online keine Updates mehr. Nur Hersteller-Patches könnten das noch ändern. Auch bei den Versionen 14 bis 17 entscheidet die Auslieferung. Sicherheitspatches verteilen in der Regel die Gerätehersteller. Deshalb dürften laut heise noch zahlreiche Geräte offen sein. Welche Neuerungen Android 17 auf Pixel-Geräten bringt, haben wir verglichen. Die Angaben zu den Versionen weichen ab. heise online nennt die Versionen 12 bis 17. Die Projektseite hat den Absturz von Android 12 bis 16 reproduziert.

Die Projektseite zieht eine Linie zum Notruf in Australien. Solange das Gerät in der Schleife steckt, erreicht es laut Projektseite die 000 nicht verlässlich. Netzbetreiber müssen dort Handys erkennen, die den Notruf 000 nicht erreichen, und notfalls vom Netz nehmen. Der Netzbetreiber Telstra nennt dafür 28 Tage. Ein Angriff könnte so dazu führen, dass der Netzbetreiber ein Gerät sperrt, folgert die Projektseite. Für Deutschland nennt die Seite nichts Vergleichbares.

Die Proof-of-Concept-App, ein Demonstrationsprogramm, liegt samt Quellcode auf GitHub. Die Lizenz ist Apache 2.0. Sie sei eine funktionierende Waffe, warnt die Projektseite. Erlaubt sind nur eigene oder freigegebene Geräte.

Was Sie jetzt tun können

Gegen die Lücke hilft laut Projektseite ein Sicherheitsupdate, dessen Patchlevel (Stand der Sicherheitsfixes) auf Oktober 2026 oder neuer lautet. Fragen Sie beim Hersteller nach dem Termin des Oktober-Updates, bei den Versionen 12 und 13 auch nach einem eigenen Patch. Wie Apps den Patch-Stand eines Geräts auslesen, erklärt unser Beitrag zu AndroidX Security State.

Steckt ein Telefon schon in der Schleife, braucht es laut heise online einen PC. Dazu kommt die Android Debug Bridge (ADB), eine Entwicklerschnittstelle. Wählen Sie im Wiederherstellungsmodus keinesfalls „Wipe data“. Unter dem Namen @sakisdog hat jemand auf der Projektseite einen schonenderen Weg dokumentiert. Über ADB löscht man nur die schädlichen Einträge. Sie liegen im Speicher für eingehende SMS. Das Zeitfenster nach dem Start ist kurz. Als Notlösung bleibt das Leeren des Telefonie-Speichers. Das löscht alle SMS, MMS und APN-Einstellungen, also die Verbindungsdaten Ihres Netzbetreibers. Für Laien bleibt das außer Reichweite.

Der nächste Termin ist das November-Bulletin. Laut heise online soll die Lücke dort als kritisch erscheinen. Offen ist, ob Hersteller für Android 12 und 13 patchen.