LONDON (IT BOLTWISE) – Sicherheitsforscher haben einen Proof-of-Concept für die Android-Schwachstelle „SMS of Death“ veröffentlicht. Die Lücke (CVE-2026-58882) kann Mobilfunkdienste unterbrechen oder Geräte ohne Interaktion zum Absturz bringen. Betroffen sind vor allem ältere Android-Versionen, wenn der Fix aus den Updates ab Oktober 2026 fehlt. Kritisch ist: Android verarbeitet die WAP-Push-Nachricht, bevor sie im SMS-Posteingang sichtbar wird.
Angreifer müssen beim „SMS of Death“-Exploit keinen Klick auslösen: Die Schwachstelle in Android erlaubt einen Zero-Click-Denial-of-Service über eine speziell manipulierte Textnachricht. Technisch läuft das Szenario darauf hinaus, dass Android eine WAP-Push-Nachricht bereits verarbeitet, bevor sie in der SMS-Ansicht auftaucht. Für Betroffene bedeutet das im Alltag vor allem Verwirrung, weil der Absturz wie „aus dem Nichts“ wirkt, obwohl der Auslöser eine einzige Nachrichtenübertragung war.
Die Lücke trägt die Kennung CVE-2026-58882 und wurde laut Analyse durch unsachgemäße Validierung eines Header-Längenwerts in der Funktion WapPushOverSms.decodeWapPdu verursacht. In der Proof-of-Concept-Beschreibung wird eine acht Byte lange WAP-Push-Nachricht mit einem Muster gezeigt, das beim Umwandeln in einen signierten 32-Bit-Wert zu -2147483648 führt. Ohne Bounds-Check versucht Android anschließend, Speicher anhand dieses negativen Werts zu reservieren. Das löst eine NegativeArraySizeException aus und lässt den Prozess com.android.phone abstürzen, der für wesentliche Mobilfunkfunktionen verantwortlich ist.
Damit ist der Effekt nicht nur ein „normaler“ App-Crash: Wenn com.android.phone ausfällt, bricht die Verbindung zum Mobilfunk teilweise komplett weg. Der Angriff kann laufende Telefonate unterbrechen und laut Darstellung auch Notrufe betreffen, weil der Telefonie-Stack nicht mehr stabil läuft, solange der Prozess nicht wiederhergestellt ist. Zusätzlich wird beschrieben, dass wiederholte Abstürze entstehen können, wenn Mobilfunkanbieter die schädliche Nachricht erneut zustellen oder wenn Android bereits gespeicherte Nachrichten erneut verarbeitet. In Tests wurden bei 20 bösartigen Nachrichten sogar Situationen beobachtet, in denen Geräte in Reboot-Loops festhingen.
Für die Risikoeinschätzung ist entscheidend, dass der Patch offenbar in den Android Security Updates ab Oktober 2026 verfügbar war, aber nicht automatisch bei allen Geräten ankommt. Der Forscher Mark Blah ordnet die Bereitstellung für Android 14 bis 17 zeitlich in die Oktober-Updates ein, weist aber gleichzeitig darauf hin, dass die Schwachstelle nicht in einem öffentlich genannten Oktober-Security-Bulletin enthalten gewesen sein soll. Daraus folgt: Android 12 und 13 bleiben besonders gefährdet, wenn Hersteller oder Carrier die betreffenden Fixes nicht nachziehen. Gleichzeitig gilt allgemein, dass Updates zwar häufig automatisch starten, aber je nach Gerätehersteller und Mobilfunkanbieter eine manuelle Neubelegung oder ein Neustart nötig sein kann, damit die Änderungen wirklich aktiv sind.
Praktisch gibt es zwar Workarounds, aber sie sind nicht für jeden Nutzer geeignet. Ein GitHub-Beitrag nennt einen Weg, die bösartigen Nachrichten per Android Debug Bridge (ADB) zu entfernen; das setzt jedoch Zugriff auf einen Computer und entsprechend technische Kenntnisse voraus. Der veröffentlichte Proof-of-Concept ist hingegen so ausgelegt, dass er die manipulierten Nachrichten auch von einem Android-Gerät aus versenden kann. Der eigentliche Fix („Fix remote DoS in decodeWapPdu“) verhindert die Abstürze, indem Android die durch die fehlerhaften Nachrichten ausgelösten Ausnahmen abfängt, und er entfernt die schädlichen Nachrichten zusätzlich aus der SMS-Datenbank, damit sie nicht erneut getriggert werden.
Aus Unternehmens- und IT-Sicherheits-Sicht lohnt sich vor allem der Abgleich der Patch-Strategie mit dem realen Update-Status. Ein wirksamer Schutz hängt hier direkt davon ab, ob der decodeWapPdu-Fix auf den Zielgeräten tatsächlich installiert ist. Für IT-Abteilungen heißt das: Mobile-Device-Policies sollten nicht nur die Update-Frequenz vorgeben, sondern auch prüfen, welche Android-Versionen in der Flotte nachweislich auf dem sicheren Stand sind. Für einzelne Nutzer bleibt die Empfehlung klar: Installieren Sie die neuesten Android-Sicherheitsupdates, sobald sie für das eigene Gerät verfügbar sind, und führen Sie bei Bedarf einen Neustart durch, damit der Fix vollständig greift.
Mit der Veröffentlichung eines funktionsfähigen Proof-of-Concepts rückt außerdem eine klassische Schwachstellen-Dynamik in den Fokus: Sobald ein Zero-Click-Exploit öffentlich ist, steigt das Risiko, dass auch weniger spezialisierte Akteure Tests in der Praxis starten. Dass Android die Nachricht verarbeitet, bevor sie im Posteingang sichtbar wird, macht eine rein reaktive Schadenssuche schwierig. Deshalb sollte die Priorität bei diesem Fall nicht auf „Symptome finden“ liegen, sondern auf „Fix sicherstellen“ – und zwar schnell, besonders bei Android 12 und 13, die häufig langsamer nachgezogen werden.
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "„SMS of Death“: Android-DoS über WAP-Push ohne Interaktion" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "„SMS of Death“: Android-DoS über WAP-Push ohne Interaktion" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »„SMS of Death“: Android-DoS über WAP-Push ohne Interaktion« bei Google Deutschland suchen, bei Bing oder Google News!