Android-Sicherheitslücke: 43,6 Prozent der Geräte ohne regulären Patch

Der Sicherheitsforscher Mark Blaszczyk hat am 29. Oktober 2026 Details zu einer kritischen Schwachstelle namens „SMS of Death“ veröffentlicht. Die unter der Kennung CVE-2026-58882 geführte Lücke erlaubt es Angreifern, Android-Smartphones der Versionen 12 bis 17 ohne jegliche Interaktion der Nutzer zum Absturz zu bringen.

Die präparierten Nachrichten nutzen die veraltete WAP-Push-Technik, tauchen nicht im normalen Posteingang auf und bleiben auf dem Display vollständig unsichtbar.

Pufferüberlauf im Telefonie-Dienst

Die Ursache des Fehlers liegt tief im Android-System. Laut Blaszczyk führt ein ungeprüfter Längenwert in der Funktion WapPushOverSms.decodeWapPdu dazu, dass eine Ganzzahl auf einen Wert von rund minus 2,1 Milliarden kippt. Die dadurch ausgelöste NegativeArraySizeException bringt den zentralen Telefonie-Prozess com.android.phone unvermittelt zum Absturz.

In durchgeführten Versuchsreihen ließ sich der Angriff zu 100 Prozent reproduzieren. Betroffen waren unter anderem das Google Pixel 9 mit Firmware-Stand von April 2026 sowie mehrere Modelle der Galaxy- und A-Serie von Samsung.

Pro empfangener Nachricht verliert das Mobiltelefon für etwa eine bis zwei Sekunden die Netzverbindung. Laufende Telefonate, einschließlich abgesetzter Notrufe, brechen dabei unmittelbar ab. In Tests führte bereits eine einzelne SMS zu wiederkehrenden Ausfällen über einen Zeitraum von bis zu einer Woche.

Endlosschleifen und Datenverlust

Wird ein Gerät massiv attackiert, droht der vollständige Systemstillstand. Blaszczyk stellte fest, dass rund 20 manipulierte Nachrichten ein Testgerät über längere Zeit unbrauchbar machten. Etwa 30 schnell aufeinanderfolgende Nachrichten führten dazu, dass die SMS-Datenbank korrumpierte und das Smartphone bei jedem Startvorgang abstürzte.

Millionen Android-Nutzer sind täglich Hackern schutzlos ausgeliefert – ohne es zu wissen. Ein veraltetes Smartphone ist wie eine offene Haustür für Cyberkriminelle, doch dieser kostenlose Report zeigt Ihnen, wie Sie sich effektiv schützen. Android-Sicherheitsreport jetzt kostenlos herunterladen

Ohne entsprechende Fehlerbehebung startet das betroffene Telefon nach einem erfolgreichen Angriff etwa alle 90 Sekunden neu. Greift das integrierte Schutzsystem RescueParty ein, leitet es das Smartphone in den Wiederherstellungsmodus weiter und fordert die Nutzer auf, sämtliche Gerätedaten zu löschen.

Patch-Situation und Empfehlungen

Google stellt Sicherheitsupdates für die Android-Versionen 14 bis 17 bereit, spätestens seit Anfang Oktober 2026. Dieser Fix sorgt dafür, dass das Betriebssystem eine der 20 potenziell schädlichen Nachrichten erkennt und umgehend entfernt. Während hauseigene Pixel-Modelle die Aktualisierung unmittelbar erhalten, kann die Verteilung bei Herstellern wie Samsung oder Xiaomi Wochen bis Monate in Anspruch nehmen.

Für ältere Plattformen gestaltet sich die Lage kritischer: Da Google den Support für Android 13 im Frühjahr 2026 eingestellt hat, ist für Android 12 und 13 kein regulärer Patch zu erwarten. Eine Schließung der Lücke bliebe dort einzelnen Herstellern überlassen. Laut einer Auswertung der Android-Versionsverteilung laufen 43,6 Prozent der erfassten Geräte weiterhin mit Android 13 oder älteren Versionen.

Wer sein Android-Smartphone über einfache Updates hinaus absichern möchte, findet in diesem Ratgeber fünf sofort umsetzbare Experten-Tipps. Schützen Sie Ihre Daten und Apps mit einfachen Schritt-für-Schritt-Maßnahmen wirksam vor unbefugtem Zugriff. 5 Schutzmaßnahmen für Ihr Smartphone gratis sichern

Nutzer neuerer Geräte sollten den aktuellen Oktober-Patch unverzüglich installieren und regelmäßige Datensicherungen anlegen. Gerät ein Smartphone durch die Attacke in den Wiederherstellungsmodus, warnen Experten davor, voreilig die Option zum Löschen der Daten zu wählen.

Eine Rettung ohne Datenverlust ist über eine PC-Verbindung mithilfe des Entwicklerwerkzeugs Android Debug Bridge möglich, verlangt jedoch technisches Fachwissen. Zudem kann es helfen, eine physische SIM-Karte vorübergehend in ein Gerät ohne Android-Betriebssystem umzusetzen; bei fest integrierten eSIMs gestaltet sich dieser Schritt hingegen schwieriger.