Android-SMS-of-Death-Schwachstelle kann Anrufe unterbrechen und Telefone in eine Absturzschleife bringen

Eine unsichtbare Nachricht kann ein Telefonat unterbrechen

Eine speziell gestaltete Textnachricht von nur acht Byte kann den Telefondienst auf anfälligen Android-Smartphones zum Absturz bringen, laufende Anrufe trennen und das Gerät nach wiederholtem Empfang daran hindern, normal zu starten. Der Sicherheitsforscher Mark Blaszczyk machte die Schwachstelle am 29. Oktober 2026 öffentlich, nachdem er sie am 5. Mai an Google gemeldet hatte.

Die als „SMS of Death“ bezeichnete und in Sicherheitsberichten unter CVE-2026-58882 geführte Schwachstelle betrifft die Software, die bestimmte eingehende Nachrichten verarbeitet, bevor sie eine Messaging-App erreichen. Der Empfänger muss nichts öffnen, keine App installieren und auf keinen Link tippen. Laut Blaszczyk hinterlässt die schädliche Nachricht weder einen Eintrag im Posteingang noch eine Benachrichtigung.

Blaszczyk konnte das Problem auf einem Google Pixel 9 mit Firmware vom April 2026 und mehreren Samsung-Galaxy-Smartphones, darunter Modellen der Galaxy-A-Reihe, reproduzieren. Auf diesen Geräten gelang ihm die Reproduktion bei jedem Test. Eine einzelne Nachricht unterbrach den Mobilfunkdienst etwa ein bis zwei Sekunden lang, während Android seinen Telefonieprozess neu startete.

Blaszczyk, ein unabhängiger Sicherheitsforscher, beschrieb die unmittelbaren Auswirkungen auf den für Telefonfunktionen zuständigen Android-Prozess:

Eine einzelne fehlerhaft formatierte WAP-Push-SMS bringt com.android.phone unter Android zum Absturz und beendet laufende Anrufe, auch Notrufe, ohne dass das Opfer etwas tun muss.

Angriffe außerhalb von Testumgebungen wurden nicht gemeldet. Die Warnung, dass auch Notrufe beeinträchtigt werden könnten, beruht auf der Einschätzung des Forschers. Eine vollständige Liste betroffener Geräte, Mobilfunknetze und Länder wurde nicht veröffentlicht. Die praktische Gefahr besteht darin, dass eine kurze Unterbrechung ein Gespräch beenden kann; wiederholte Unterbrechungen können zudem verhindern, dass jemand eine Verbindung aufrechterhält, wenn Hilfe benötigt wird.

Warum die Nachricht nie im Posteingang landet

Android empfängt den schädlichen Inhalt über WAP Push, ein älteres Verfahren zur Übertragung von Daten und Anweisungen über Mobilfunknetze. Zu den legitimen Einsatzmöglichkeiten zählt, ein Smartphone zum Abruf einer Multimedia-Nachricht oder zur Übernahme von Mobilfunkbetreibereinstellungen aufzufordern. Anders als eine gewöhnliche, zum Lesen bestimmte Textnachricht wird diese Art von Nachricht automatisch von der Systemsoftware verarbeitet.

Für diese Verarbeitung ist Androids Komponente WapPushOverSms zuständig. Die Schwachstelle liegt in deren Dekodierungsfunktion, in der das Smartphone Informationen zur Länge eines Nachrichtenteils ausliest. Da der Telefoniedienst auf den Fehler stößt, bevor die normale Nachrichtenverarbeitung abgeschlossen ist, bekommt der Empfänger keinen sichtbaren Text zu sehen, den er prüfen oder löschen könnte.

Der Angriff umgeht damit genau den Moment, in dem Menschen normalerweise entscheiden, ob eine Nachricht verdächtig wirkt. Unbekannte Absender zu ignorieren oder keine Links zu öffnen, hilft kaum gegen einen Fehler, der bei der automatischen Verarbeitung ausgelöst wird. Schutz bietet vor allem eine Korrektur der Betriebssystemkomponente, die die Nachricht verarbeitet.

Aus einer großen Zahl wird eine negative Länge

Blaszczyk führte den Absturz auf einen Fehler bei der Zahlenumwandlung zurück. Android liest die Länge eines Nachrichtenkopfs in einem Datentyp aus, der große Zahlen aufnehmen kann, und wandelt den Wert anschließend ohne vorherige Prüfung in eine vorzeichenbehaftete 32-Bit-Ganzzahl um.

Im beschriebenen Test wird der Wert 2.147.483.648 bei dieser Umwandlung zu minus 2.147.483.648. Eine vorzeichenbehaftete Ganzzahl dieser Größe kann nur positive Zahlen bis 2.147.483.647 aufnehmen. Der präparierte Wert liegt knapp über dieser Grenze.

Android versucht anschließend, mit der negativen Länge Speicherplatz für einen Datenblock zu reservieren. Eine negative Größe ist für diesen Vorgang nicht sinnvoll, weshalb die Software den Fehler NegativeArraySizeException auslöst. Da der Fehler nicht korrekt behandelt wird, beendet er den Prozess com.android.phone.

Die Nachricht ist acht Byte lang und enthält eine fünf Byte lange Sequenz, die die problematische Längenangabe liefert. Die geringe Größe verdeutlicht, wie schwerwiegend der Fehler ist: Eine winzige eingehende Nachricht kann eine weit größere Störung auslösen, weil ein zentraler Systemprozess bei ihrer Auswertung abstürzt.

Wie aus einem kurzen Ausfall ein wiederkehrender Fehler wird

Mobilfunkbetreiber erwarten normalerweise, dass ein Smartphone den Empfang einer Nachricht bestätigt. Stürzt Android ab, bevor dieser Austausch abgeschlossen ist, versucht der Betreiber möglicherweise, die Nachricht erneut zuzustellen. Ein Verfahren, das den Versand von Textnachrichten zuverlässiger machen soll, kann den schädlichen Inhalt so immer wieder auf das Smartphone bringen.

Android hält eingehende Nachrichten während der Verarbeitung außerdem in einer Warteschlange vor. Laut Blaszczyk kann eine fehlerhaft formatierte Nachricht dort verbleiben und nach einem Neustart erneut verarbeitet werden. Dadurch kann derselbe Absturz wieder auftreten.

Blaszczyk erklärte, warum ein Neustart des Geräts die Störung möglicherweise nicht beendet:

Die fehlerhaft formatierte Nachricht bleibt in der Warteschlange und wird bei jedem Start erneut verarbeitet. Deshalb kann das Smartphone beim Hochfahren abstürzen, bis die Nachricht entfernt wird.

Blaszczyk warnte, dass etwa 20 Nachrichten ein Gerät über längere Zeit unbenutzbar machen könnten. In Tests wurden außerdem rund 30 Nachrichten beschrieben, die kurz hintereinander eintrafen, bevor sich anhaltendere Ausfälle entwickelten. Diese Zahlen beziehen sich auf Testbedingungen und stellen keinen genauen Schwellenwert dar, den jedes Smartphone erreichen würde.

Der Forscher führte einige dauerhafte Ausfälle auf eine Beschädigung der SQLite-Datenbank zurück, in der eingehende SMS-Daten gespeichert werden. SQLite ist ein kleines Datenbanksystem, das Apps und Betriebssysteme zum Speichern strukturierter Datensätze verwenden. Lösen bei jedem Start wiederholt benötigte Datensätze einen Fehler aus, kann der Telefoniedienst bei jedem Wiederherstellungsversuch erneut abstürzen.

Durch erneute Zustellversuche des Mobilfunkbetreibers kam es in Tests zu zeitweiligen Telefonieproblemen, die bis zu einer Woche anhielten. Diese wurden auch einer einzelnen schädlichen Nachricht zugeschrieben. Dass sowohl beim Betreiber zurückgehaltene Nachrichten als auch auf dem Smartphone gespeicherte Datensätze eine Rolle spielen, erklärt, warum die Folgen länger als die erste Zustellung anhalten können.

Warum der Wiederherstellungsbildschirm Datenverlust bedeuten kann

Android verfügt über einen automatischen Wiederherstellungsmechanismus namens RescueParty. Fällt eine wichtige Komponente wiederholt aus, versucht das System eine Wiederherstellung und kann das Smartphone nach etwa 90 Sekunden in den Wiederherstellungsmodus versetzen. Dort wird Nutzern möglicherweise die Option angeboten, ihre Daten zu löschen.

Ein Zurücksetzen auf Werkseinstellungen löscht lokale Daten und Einstellungen. Blaszczyk berichtete, dass das Zurücksetzen in Tests nur vorübergehend half, weil der Mobilfunkbetreiber anschließend Nachrichten erneut zustellen konnte, deren Empfang noch nicht bestätigt worden war. Wer das Smartphone löscht, könnte daher persönliche Daten verlieren und danach erneut mit Abstürzen konfrontiert sein.

Blaszczyk beschrieb eine Wiederherstellung über die Android Debug Bridge (ADB), ein Werkzeug, mit dem ein Computer zu Entwicklungs- und Wartungszwecken mit einem Android-Gerät kommunizieren kann. Dabei wurden die betroffenen SMS-Datensätze während eines kurzen Zeitfensters gelöscht, in dem das Smartphone zugänglich war.

Für eine Wiederherstellung über ADB ist technischer Zugriff nötig; viele Besitzer haben die erforderliche Verbindung nicht im Voraus eingerichtet. Bei der vom Forscher beschriebenen Vorgehensweise wurde außerdem eine physische SIM-Karte in ein Gerät ohne Android-Betriebssystem eingesetzt, damit noch ausstehende Nachrichten empfangen und bestätigt werden konnten. Bei einem Mobilfunkvertrag mit eSIM könnte die Wiederherstellung schwieriger sein, warnte er.

Wer mit wiederholten Abstürzen konfrontiert ist, sollte sich zunächst fachkundige technische Hilfe holen, bevor er die Option zum Löschen der Daten auswählt. Die beschriebene Wiederherstellung betrifft Systemdatensätze und Zugriffseinstellungen und ist daher deutlich aufwendiger, als eine gewöhnliche Textnachricht zu löschen.

Welche Android-Versionen müssen beachtet werden?

Der in den technischen Berichten genannte Hauptbereich betroffener Versionen reicht von Android 12 bis Android 16. Einige Berichte beziehen auch Android 17 mit ein. In den Tests wurden ausdrücklich Pixel- und Samsung-Galaxy-Geräte genannt. Da das Problem in gemeinsam genutztem Android-Telefoniecode liegt, könnte der Kreis betroffener Geräte jedoch größer sein.

Die für Oktober 2026 gemeldete Korrektur deckt Android 14 bis Android 17 ab. Bei Smartphones mit Android 12 oder Android 13 besteht der größte Klärungsbedarf: Diese Versionen gelten als außerhalb des aktuellen Google-Sicherheitssupports. Ihre Besitzer sind daher darauf angewiesen, dass der Hersteller oder ein anderer Anbieter des Betriebssystems eine Korrektur bereitstellt.

Die Android-Version und der Stand der Sicherheitsupdates beantworten unterschiedliche Fragen. Die Version gibt an, welcher Generation des Betriebssystems das Smartphone angehört. Die Sicherheitsupdate-Angabe zeigt, wie aktuell bekannte Schwachstellen behoben wurden. Zwei Smartphones mit derselben Android-Version können Updates zu unterschiedlichen Zeitpunkten erhalten.

Hersteller und Mobilfunkbetreiber beeinflussen, wann Updates für einzelne Modelle verfügbar werden. Besitzer sollten das Datum des Sicherheitsupdates in den Einstellungen prüfen, üblicherweise unter „Über das Telefon“, „Sicherheit“ oder „Softwareupdates“, und das neueste verfügbare Update installieren. Die gemeldete Korrektur ist mit dem Update vom Oktober 2026 verbunden. Wenn unklar ist, wann es veröffentlicht wird, empfiehlt es sich, die Angaben des Herstellers zum konkreten Modell zu prüfen.

Die Korrektur nahm einen anderen Weg als die Beschwerde

Blaszczyk zufolge stufte Google seine Meldung zunächst als Nicht-Sicherheitsproblem ein und schloss sie, ohne der von ihm geforderten Maßnahme zuzustimmen. In seinem veröffentlichten Bericht schilderte er weitere Einsprüche und eine erneute Einstufung als Nicht-Sicherheitsproblem am 29. Oktober. Unterdessen arbeiteten Android-Entwickler bereits an einer Korrektur.

Der gemeldete Ablauf zeigt, dass die Bearbeitung der Beschwerde des Forschers und der Weg des Codes durch Androids Entwicklungs- und Updatesysteme getrennt verliefen:

• 5. Mai 2026: Blaszczyk meldete die Schwachstelle erstmals an Google.
• 15. Juni: Google erstellte eine technische Korrektur für den Fehler bei der Nachrichtenverarbeitung.
• Juli: GrapheneOS zufolge erhielt das Projekt den Patch über Sicherheitsvorschauen und setzte ihn noch im selben Monat um.
• 5. August: Die Korrektur wurde Berichten zufolge in Googles Entwicklungsprozess übernommen.
• Oktober: Die Änderung wurde im Android Open Source Project veröffentlicht und in Updates für Android 14 bis Android 17 aufgenommen.
• 29. Oktober: Blaszczyk machte seine Erkenntnisse öffentlich.
• November: GrapheneOS zufolge sollte die Schwachstelle im Android-Sicherheitsbulletin erscheinen.

GrapheneOS vermutete, ein internes Kommunikationsproblem könnte Googles Umgang mit der Meldung erklären. Diese Erklärung war eine Vermutung der Entwickler des Betriebssystems. Die hier geschilderte Chronologie umfasst sowohl eine abgelehnte Meldung als auch eine technische Änderung, die den Absturz verhindern soll.

Das Sicherheitsbulletin im November war der nächste angekündigte Veröffentlichungstermin. GrapheneOS hatte die Korrektur nach eigenen Angaben bereits im Juli umgesetzt. Das spätere Datum des Bulletins bezog sich daher auf die öffentliche Sicherheitsdokumentation und nicht auf die erstmalige Bereitstellung des Patches durch GrapheneOS.

Was die Korrektur ändert

Die gemeldete Korrektur von Google erweitert die Fehlerbehandlung, sodass Android den Laufzeitfehler abfängt und die fehlerhaft formatierte Nachricht aus der Warteschlange entfernt. Die Verarbeitung kann dadurch über den schädlichen Eintrag hinaus fortgesetzt werden, statt wiederholt daran abzustürzen.

Blaszczyk hatte vorgeschlagen, vor der Umwandlung zu prüfen, ob die angegebene Länge des Nachrichtenkopfs gültig ist. Der gemeldete technische Ansatz fängt den Fehler stattdessen ab und löscht die dafür verantwortliche Nachricht. Praktisch wird damit auch die wiederholte Verarbeitung verhindert, durch die aus einer einzelnen Zustellung ein anhaltendes Problem mit dem Telefondienst werden kann.

Die Korrektur soll greifen, wenn eine fehlerhaft formatierte Nachricht verarbeitet wird. Die in den Tests genannten rund 20 Nachrichten beziehen sich auf das Ausmaß wiederholter Störungen und nicht auf eine Zahl, die erst erreicht werden muss, bevor die Korrektur wirkt.

Wenn eine Korrektur im Android Open Source Project erscheint, ist der zugrunde liegende Code zur Integration in Android-Software verfügbar. Ob sie einen einzelnen Nutzer erreicht, hängt weiterhin davon ab, ob ein geeignetes Update für dessen Smartphone erstellt und verteilt wird. Deshalb ist es wichtig, neben der Korrektur des Codes durch Google auch den Supportstatus des konkreten Modells zu prüfen.

Was Besitzer jetzt tun können

Besitzer unterstützter Smartphones sollten das neueste Sicherheitsupdate des Systems installieren und in den Versionshinweisen oder Supportinformationen des Herstellers nach einer Bestätigung der Korrektur suchen. Wer Android 12 oder Android 13 nutzt, sollte beim Hersteller nachfragen, ob das Modell einen Patch erhält oder auf eine unterstützte Android-Version aktualisiert werden kann.

Blaszczyk hat eine Demonstrations-App samt Quellcode veröffentlicht, was eine zeitnahe Bereitstellung des Patches noch dringlicher macht. Seine Veröffentlichung enthält die Warnung, die App nicht gegen andere Personen einzusetzen, insbesondere weil eine Beeinträchtigung der Notfallkommunikation ernsthafte Gefahren verursachen kann.

Nutzer, deren Smartphones wiederholt den Mobilfunkdienst verlieren oder neu starten, sollten sich an den Gerätehersteller oder einen qualifizierten Reparaturdienst wenden. Bei einer Aufforderung zur Wiederherstellung ist Vorsicht geboten, wenn die Daten erhalten bleiben sollen. Wer dringend Hilfe benötigt, während das eigene Smartphone keinen Anruf aufrechterhalten kann, sollte ein anderes funktionierendes Telefon verwenden.

Für Besitzer ist vor allem eines wichtig: Der Fehler tritt auf, bevor überhaupt eine verdächtige Nachricht beurteilt werden kann. Für unterstützte Geräte ist ein aktuelles Sicherheitsupdate, das tatsächlich für das verwendete Smartphone bereitgestellt wurde, der wirksamste praktische Schutz.

Die wichtigsten Punkte

• Eine fehlerhaft formatierte WAP-Push-SMS kann den Android-Telefondienst ohne Zutun des Empfängers zum Absturz bringen.
• Blaszczyk reproduzierte die Schwachstelle auf einem Pixel 9 und Samsung-Galaxy-Geräten. Einzelne Unterbrechungen dauerten etwa ein bis zwei Sekunden.
• Wiederholte Verarbeitung und erneute Zustellversuche des Mobilfunkbetreibers können zu längeren Störungen, wiederholten Abstürzen und Aufforderungen zur Wiederherstellung führen.
• Die für Oktober 2026 gemeldete Korrektur deckt Android 14 bis Android 17 ab. Besitzer von Android 12 und Android 13 sind auf weitere Unterstützung durch ihre Geräteanbieter angewiesen.
• Angriffe außerhalb von Tests wurden nicht gemeldet. Der Forscher warnte, dass eine gestörte Telefonverbindung auch den Zugang zu Notdiensten beeinträchtigen könnte.
• Ein Zurücksetzen auf Werkseinstellungen löscht Daten; anschließend können schädliche Nachrichten erneut zugestellt werden. Für eine technische Wiederherstellung kann ADB erforderlich sein.