CVE-2026-58882: Rund 20 SMS können Android-Geräte dauerhaft blockieren

Der Sicherheitsforscher Mark Blaszczyk hat am 29. Oktober 2026 Untersuchungsergebnisse sowie eine Machbarkeitsdemonstration zu einer gravierenden Sicherheitslücke in Android vorgelegt.

Unter der Kennung CVE-2026-58882 führt ein als sogenannte „SMS of Death“ bekannter Angriff dazu, dass eine speziell präparierte WAP-Push-Nachricht den zentralen Systemdienst für Telefoniefunktionen zum Absturz bringt.

Für das Auslösen des Fehlers ist keinerlei Nutzerinteraktion erforderlich. Laufende Telefonate sowie Notrufe brechen unvermittelt ab, während im regulären Posteingang für Kurzmitteilungen keinerlei Spur der bösartigen Nachricht verbleibt.

Technische Ursache und betroffene Android-Versionen

Die Schwachstelle liegt in einer fehlenden Längenprüfung innerhalb der Funktion WapPushOverSms.decodeWapPdu bei der Verarbeitung von Daten-SMS an Port 2948. Ein 5-Byte großer uintvar-Wert (88 80 80 80 00) wird dabei als 32-Bit-Ganzzahl interpretiert und zu -2147483648 aufgelöst, was eine NegativeArraySizeException im Telefonprozess com.android.phone erzwingt. Ein Payload von lediglich 8 Byte reicht bereits aus, um den Absturz herbeizuführen.

Nach Angaben von Mark Blaszczyk ließ sich der Fehler zu 100 Prozent auf einem Google Pixel 9 mit der Firmware von April 2026 sowie auf diversen Galaxy- und Galaxy-A-Geräten von Samsung reproduzieren. Die betroffene Codebasis existiert seit Android 12, womit sämtliche Versionen von Android 12 bis 17 anfällig sind.

Jede empfangene Nachricht trennt die Netzverbindung für ein bis zwei Sekunden. Da Mobilfunknetzbetreiber unzustellbare Nachrichten erneut senden und das Gerät beim Neustart wiederholt versucht, die Nachricht zu verarbeiten, droht eine fortlaufende Schleife. Rund 20 gezielte Nachrichten können das betroffene Gerät dauerhaft blockieren; in Tests kam es zu tagelangen, intermittierenden Ausfällen von bis zu rund einer Woche.

Millionen Android-Nutzer sind täglich Hackern schutzlos ausgeliefert – ohne es zu wissen. Ein veraltetes Smartphone ist wie eine offene Haustür für Cyberkriminelle. Dieser kostenlose Report zeigt, wie Sie sich schützen. Android-Updates installieren und Sicherheitslücken schließen

Schutzmechanismus führt in den Recovery-Modus

Eskaliert die Ausfallserie, greift die Schutzfunktion Android Rescue Party ein. Das Smartphone startet in diesem Fall etwa alle 90 Sekunden neu und landet im Wiederherstellungsmodus, wo es zum Löschen aller Benutzerdaten auffordert.

Von dieser Option sollte jedoch abgesehen werden, da ein vollständiges Zurücksetzen auf die Werkseinstellungen vermeidbar ist. Eine Wiederherstellung gelingt stattdessen über einen verbundenen Computer mittels der Android Debug Bridge (ADB), wozu der GitHub-Nutzer Sakis ein Bereinigungsverfahren bereitgestellt hat.

Der Vorfall wird von Mark Blaszczyk als reiner Denial-of-Service-Angriff eingestuft. Ein Abfluss von Benutzerdaten findet nicht statt, und großflächige Angriffe unter Ausnutzung des Fehlers wurden bislang nicht bestätigt. Laut einem Bericht vom 1. November 2026 war die Kennung CVE-2026-58882 bei NVD und MITRE noch nicht final registriert.

Schleppende Auslieferung der Sicherheitsupdates

Mark Blaszczyk hatte den Fehler bereits am 5. Mai 2026 an Google übermittelt. Der Konzern lehnte die Meldung zunächst mit dem Vermerk ab, das Problem nicht beheben zu wollen. Erst am 15. Juni 2026 entstand der Fix-Commit 735d967, der Exceptions abfängt und schädliche Nachrichten aus der internen Datenbank löscht. Im Android Open Source Project tauchte dieser Patch erst im Oktober auf.

Wer sich mit der Sicherheit seines mobilen Geräts befasst, sollte die richtigen Updates nicht dem Zufall überlassen. Erfahren Sie in diesem kostenlosen Ratgeber, wie Sie Ihr Android-Smartphone in 5 einfachen Schritten sofort sicherer machen. Kostenlosen Sicherheits-Report jetzt herunterladen

Google integrierte die Fehlerbehebung zwar in die Sicherheitsupdates für Android 14 bis 17 für den Monat Oktober 2026, erwähnte die Lücke im zugehörigen Sicherheitsbulletin jedoch nicht. Es wird erwartet, dass CVE-2026-58882 für das Bulletin im November 2026 als kritisch eingestuft wird.

Geräte mit Android 12 und 13 erhalten regulär keine Aktualisierungen mehr und verbleiben ohne herstellereigene Patches in einem ungeschützten Zustand.

Während das alternative Betriebssystem GrapheneOS die Behebung bereits seit Ende Juli 2026 über Previews verteilt, hängt der Rollout für Standardnutzer von Marken wie Samsung, Xiaomi, OnePlus oder Motorola von den jeweiligen Herstellern ab, was zu Verzögerungen von mehreren Wochen oder Monaten führen kann.