SMS of Death: Rund 20 WAP-Nachrichten lösen Android-Neustartschleife aus

Eine neu bekannt gewordene Sicherheitslücke im mobilen Betriebssystem Android gefährdet zahlreiche Smartphones. Wie Sicherheitsforscher Mark Blaszczyk demonstrierte, reicht der Empfang einer manipulierten WAP-Push-Nachricht aus, um ein betroffenes Gerät ohne jede Handlung des Nutzers zum Absturz zu bringen. Die Schwachstelle wird unter der Kennung CVE-2026-58882 geführt und in Fachkreisen als „SMS of Death“ bezeichnet.

Schwere Denial-of-Service-Lücke im Telefonie-Dienst

Nach Angaben zu CVE-2026-58882 genügt eine speziell präparierte Nachricht mit einer Größe von nur 8 Byte, um den Telefonie-Prozess des Systems lahmzulegen.

Da Android diese Daten bereits auf Systemebene vor der eigentlichen Anzeige in einer Messaging-App verarbeitet, erfolgt der Absturz vollständig ohne Interaktion des Anwenders. Ein Wechsel der Standard-SMS-App oder des Mobilfunkbetreibers bietet keinen Schutz, weil der Fehler tief im Betriebssystem verankert ist.

Infolge des Fehlers bricht die Mobilfunkverbindung für mehrere Sekunden ab. Laufende Telefonate sowie Notrufe werden dabei unvermittelt getrennt. Die Einstufung erfolgt als Denial-of-Service-Schwachstelle mit dem Schweregrad „Critical“. Zwar kommt es den Analysen zufolge zu keinem Datendiebstahl und es wird keine Schadsoftware installiert, doch beeinträchtigt der Ausfall grundlegende Sicherheitsfunktionen des Telefons.

Besonders gravierend sind die Folgen bei einem massenhaften Versand: Werden mehrere bösartige Nachrichten empfangen, gerät das Smartphone in eine permanente Neustart-Schleife, bei der sich das System etwa alle 90 Sekunden neu bootet.

Ein veraltetes Smartphone ist wie eine offene Haustür für Cyberkriminelle, die gezielt Sicherheitslücken in Android-Systemen ausnutzen. Dieser kostenlose Report zeigt Ihnen, wie Sie mit den richtigen Updates Datenverlust und Malware dauerhaft verhindern. 5 einfache Schritte für ein sichereres Android-Smartphone

Da die fehlerhafte Kurznachricht bis zu einem erfolgreichen Abruf im Speicher verbleibt, wird sie bei jedem Startvorgang erneut verarbeitet, bis das Gerät schließlich im Recovery-Modus landet.

Blaszczyk stellte im Test fest, dass rund 20 derartige Nachrichten ausreichten, um diese Schleife auszulösen. Reale Angriffe wurden bislang nicht registriert, ein entsprechender Prüfcode ist jedoch öffentlich zugänglich.

Betroffene Versionen und Patches

Von der Sicherheitslücke sind die Betriebssystemversionen Android 14, 15, 16, 16 QPR2 sowie 17 betroffen. Ältere Versionen wie Android 12 und 13 erhalten Sicherheitsaktualisierungen nicht automatisch; dort stehen herstellerspezifische Anpassungen noch aus.

Blaszczyk hatte den Fehler bereits im Mai an Google gemeldet und nach erfolgreichen Tests auf Geräten der Reihen Google Pixel und Samsung Galaxy am 29. Oktober 2026 eine Demonstration veröffentlicht. Die Erfolgsquote bei der Reproduktion bezifferte er auf 100 Prozent. Auf der Plattform „SMSofDeath“ zeigte der Forscher, wie sich Anrufe kappen und Geräte in den Wiederherstellungsmodus zwingen lassen.

Google führt das Problem offiziell im Android Security Bulletin für November 2026 auf. Ein entsprechender Patch ist für den Quellcode der betroffenen Android-Versionen bereitgestellt. Vollständiger Schutz besteht ab einem Sicherheitsupdate-Stand vom 1. November 2026 oder neuer, während Google-Geräte mit dem Patch-Level vom 5. November 2026 abgesichert sind.

Nach Unternehmensangaben sei die Behebung bereits mit dem Update vom Oktober 2026 für die Versionen Android 14 bis 17 eingeleitet worden, wodurch das Betriebssystem den Absturz abfängt und die Nachricht entfernt. Laut Blaszczyk war dieser Fix zwar im Oktober-Patch enthalten, wurde damals jedoch nicht im Bulletin dokumentiert. Geräte mit dem Stand September 2026 oder älter bleiben verwundbar.

Hersteller rollen die Aktualisierungen sukzessive aus. Samsung begann ab dem 3. November mit der Verteilung seines November-Updates, zunächst für die Modelle Galaxy S26, S26+ und S26 Ultra in Korea.

Wer sich vor Hackern und Viren schützen möchte, sollte die Sicherheit seines Geräts nicht dem Zufall überlassen. In diesem gratis PDF-Ratgeber erfahren Sie, welche 5 einfachen Maßnahmen Ihr Android-Smartphone sofort effektiv absichern. Kostenlosen Sicherheits-Ratgeber jetzt herunterladen

Handlungsempfehlungen bei akutem Befall

Für betroffene Anwender, deren Gerät in einer Neustart-Schleife feststeckt, existieren technische Gegenmaßnahmen. Es wird empfohlen, die SIM-Karte vorübergehend zu entfernen, um den weiteren Empfang bösartiger Nachrichten zu stoppen. Aktualisierungen können anschließend über eine WLAN-Verbindung eingespielt werden. Alternativ lässt sich die SIM-Karte in ein Nicht-Android-Gerät einsetzen.

Sofern das Gerät noch reagiert, kann der Zugriff über die Android Debug Bridge (ADB) an einem Computer genutzt werden, um die blockierende Nachricht manuell zu löschen.

Von einem vorschnellen Zurücksetzen über die Funktion „Wipe data“ im Recovery-Menü wird abgeraten, da dies zum vollständigen Verlust aller lokalen Daten führt. Nutzer sollten Versionsstand und Patch-Datum prüfen sowie offizielle Service-Stellen hinzuziehen, falls Neustarts anhalten.