Android-Lücke CVE-2026-58882: Eine SMS kann Telefonate und Notrufe abbrechen

Eine neu bekannt gewordene Zero-Click-Schwachstelle im mobilen Betriebssystem Android gefährdet die Telefoniefunktion zahlreicher Smartphones. Wie das alternative Betriebssystemprojekt GrapheneOS mitteilte, wird die unter der Kennung CVE-2026-58882 geführte Lücke im Sicherheitsbericht für November 2026 als kritisch eingestuft.

GrapheneOS selbst hatte eine entsprechende Fehlerbehebung nach eigenen Angaben bereits im Juli 2026 über Sicherheitsvorschauen ab der Version Preview 2026072901 integriert. Für viele reguläre Android-Nutzer steht die Bereitstellung des Schutzes jedoch erst noch bevor.

Entdeckt und analysiert wurde die Schwachstelle von dem Sicherheitsforscher Mark Blaszczyk, der am 29. Oktober 2026 einen funktionsfähigen Machbarkeitsnachweis unter einer quelloffenen Lizenz (Apache 2.0) auf GitHub veröffentlichte.

Der Angriff erfordert keinerlei Interaktion durch den Gerätebesitzer: Eine speziell präparierte, unsichtbare WAP-Push-Daten-SMS über Port 2948 reicht aus, um die internen Verarbeitungsroutinen im Systemdienst zum Absturz zu bringen. Dies führt dazu, dass laufende Telefonate sowie Notrufe unmittelbar abbrechen.

Pufferfehler in der SMS-Verarbeitung

Auslöser des Problems ist die Funktion zur Dekodierung von WAP-Push-Nachrichten. Diese liest die Header-Länge als 64-Bit-Wert ein und wandelt die Zahl anschließend ohne eine Überprüfung des Wertebereichs in ein 32-Bit-Format um.

Übertragen Angreifer eine fünf Byte lange Sequenz mit den Werten 88 80 80 80 00, führt dies intern zu dem Wert -2147483648. Die daraus resultierende Bereichsausnahme beendet den zentralen Telefoniedienst com.android.phone unverzüglich. Bereits eine fehlerhaft aufgebaute Nachricht mit einer Gesamtgröße von nur 8 Byte genügt für den erfolgreichen Angriff.

Angesichts kritischer Sicherheitslücken, die das Smartphone ohne Zutun des Nutzers lahmlegen können, ist ein Basis-Schutz für das Betriebssystem unerlässlich. Dieser kostenlose Ratgeber zeigt Ihnen in fünf einfachen Schritten, wie Sie Ihr Gerät effektiv gegen Hacker und Datenmissbrauch absichern. 5 Schutzmaßnahmen für Android-Smartphones jetzt entdecken

Die manipulierte SMS wird im regulären Posteingang des Mobiltelefons nicht angezeigt. Pro empfangener Nachricht entsteht ein Netzausfall von 1 bis 2 Sekunden, begleitet von der dokumentierten internen Abbruchursache CS_DEATH. Nach nur einer einzigen Nachricht kam es in Versuchen bis zu eine Woche lang zu wiederkehrenden Abstürzen.

Trafen rund 20 präparierte Kurznachrichten ein, waren Testgeräte über längere Zeiträume vollständig unbenutzbar. Ein Testgerät mit Android 12 startete dabei etwa alle 90 Sekunden in den internen Wiederherstellungsmodus, sodass ein vollständiges Zurücksetzen auf die Werkseinstellungen erforderlich wurde.

Hohe Trefferquote und ungleiche Update-Versorgung

In den Testreihen von Mark Blaszczyk ließ sich der Fehler auf Geräten vom Typ Pixel 9 mit Firmware-Stand April 2026 sowie Modellen der Reihen Samsung Galaxy und Galaxy A über die Betriebssystemversionen Android 12 bis 16 mit einer Quote von 100 Prozent reproduzieren. Der Demonstrations-Exploit versendet die manipulierten Kurznachrichten direkt von einem anderen Android-Smartphone aus.

Ein veraltetes Betriebssystem gleicht einer offenen Tür für Cyberkriminelle, da Sicherheitsupdates oft die einzige Barriere gegen automatische Angriffe darstellen. Erfahren Sie in diesem gratis Report, wie Sie automatische Updates richtig nutzen, um Sicherheitslücken dauerhaft zu schließen. Kostenlosen Android-Update-Ratgeber herunterladen

Eine Wiederherstellung betroffener Geräte ohne Datenverlust ist nach Angaben des Forschers ausschließlich über die Entwicklerschnittstelle ADB möglich. Dieses Verfahren, das von dem GitHub-Mitwirkenden Sakis erarbeitet wurde, entfernt gezielt die schädlichen SMS-Einträge aus der Rohdatenbank.

Der Fehler war Google bereits am 5. Mai 2026 über das Prämienprogramm gemeldet worden, wurde dort zunächst jedoch geschlossen. Ein entsprechender Korrektur-Commit wurde am 15. Juni 2026 verfasst und trägt das Bearbeitungsdatum 5. August 2026. Dieser Commit fängt die Ausnahme breiter ab und tilgt die fehlerhafte Nachricht sofort aus der Rohdatenbank.

Google lieferte diesen Fix mit dem Android-Sicherheitsstand Oktober 2026 für die Versionen Android 14 bis 17 aus. Ältere Versionen wie Android 12, 12L und 13 teilen zwar dieselbe Codebasis, erhalten jedoch keinen regulären Patch und verbleiben in einem verwundbaren Zustand. Die Verteilung liegt dort bei den jeweiligen Geräteherstellern.

Konkrete Auswirkungen zeigen sich auch bei Mobilfunkbetreibern: Der australische Anbieter Telstra wies darauf hin, dass betroffene Endgeräte den Notruf 000 nicht verlässlich erreichen können, und nannte in diesem Zusammenhang einen Zeitraum von 28 Tagen.

Bislang gibt es abseits der Sicherheitsanalysen keine Belege für Angriffe im regulären Betrieb. Sicherheitsforscher raten Nutzern dringend dazu, verfügbare Sicherheitsaktualisierungen unverzüglich einzuspielen und keinesfalls auf inoffizielle Reparaturprogramme zurückzugreifen.