WAP-Push-Angriff auf Android: Schon eine Nachricht kann Geräte lahmlegen

Google hat mit dem Android-Sicherheitsbulletin für November 2026 insgesamt 216 Schwachstellen behoben, von denen 23 als kritisch eingestuft sind. Als schwerwiegendste Lücke führt der Hersteller CVE-2026-58868 im Framework-Bereich auf, die eine Ausführung von Schadcode aus der Ferne ohne vorherige Nutzerinteraktion ermöglicht.

Zudem adressiert das Update unter den Bezeichnungen CVE-2026-58876 und CVE-2026-58936 weitere kritische Schwachstellen im System, die ebenfalls das Einschleusen von Schadcode aus der Ferne betreffen.

Kritische Dienstblockade über manipulierte SMS-Nachrichten

Besondere Aufmerksamkeit gilt der unter CVE-2026-58882 geführten Sicherheitslücke, die im Patch-Level vom 1. November 2026 enthalten ist. Diese Schwachstelle ermöglicht einen Denial-of-Service-Angriff über fehlerhaft formatierte WAP-Push-Nachrichten.

Betroffene Geräte verarbeiten die präparierte Nachricht automatisch und ohne Zutun des Empfängers; im regulären Posteingang taucht der Eingang nicht auf. Der Angriff bringt den Telefonprozess zum Absturz und trennt sowohl aktive Gespräche als auch Notrufe ab.

Die Ursache liegt in einer ungeprüften Umwandlung von 64-Bit- auf 32-Bit-Ganzzahlen (long zu int) bei der Header-Längenverarbeitung in der Funktion decodeWapPdu(), was eine NegativeArraySizeException im System auslöst. Schadcode wird dabei nicht ausgeführt.

Angesichts der zunehmenden Berichte über kritische Sicherheitslücken sind Millionen Smartphone-Nutzer täglich Risiken ausgesetzt, von denen sie oft nichts ahnen. Dieser kostenlose PDF-Ratgeber zeigt Ihnen, wie Sie mit den richtigen Updates Datenverlust und Malware dauerhaft verhindern. 5 einfache Schritte, mit denen Ihr Android-Smartphone sofort sicherer wird

Entdeckt wurde das Problem vom Sicherheitsforscher Mark Blaszczyk, der die Lücke am 5. Mai 2026 meldete und am 29. Oktober 2026 öffentlich machte. Der zugehörige Software-Patch in Commit 735d967 vom 15. Juni 2026 erweitert die Fehlerbehandlung und entfernt fehlerhafte Nachrichten direkt aus der SMS-Datenbank.

In Tests führte bereits eine einzelne Nachricht zu zeitweisen Geräteausfällen über einen Zeitraum von bis zu einer Woche. Rund 20 Nachrichten konnten ein Testgerät über einen längeren Zeitraum unbrauchbar machen. Als Notfallmaßnahme steht eine Bereinigung wartender Nachrichten über die Entwicklerschnittstelle ADB bereit, die ohne das Zurücksetzen auf Werkseinstellungen auskommt, jedoch einen verbundenen Computer erfordert.

Ältere Android-Versionen bleiben ohne Korrektur

Die Fehlerbehebung für CVE-2026-58882 steht im Patch-Level vom 1. November 2026 für die Versionen Android 14, Android 15, Android 16, Android 16 QPR2 sowie Android 17 bereit.

Nach Angaben des Forschers sind die Versionen Android 12 bis 17 anfällig; eine Reproduktion gelang unter anderem auf dem Pixel 9 und verschiedenen Samsung-Galaxy-Geräten.

Wer sich vor Hackern und Internet-Kriminalität schützen möchte, sollte die Sicherheit seines Geräts nicht dem Zufall überlassen. Erfahren Sie in diesem gratis Leitfaden, wie Sie Ihr Smartphone in wenigen Minuten gegen unbefugte Zugriffe absichern. Kostenlosen Sicherheits-Ratgeber jetzt herunterladen

Da Google Android 12 und Android 13 im November-Bulletin nicht aufführt, erhalten diese Betriebssystemversionen seitens des Plattformbetreibers keinen offiziellen Patch mehr. Sie bleiben exponiert, sofern die jeweiligen Gerätehersteller keine eigenständigen Anpassungen nachreichen.

Ob ein System geschützt ist, lässt sich in den Geräteeinstellungen unter den System- und Versionsangaben prüfen, wo der Stand des Sicherheitsupdates mindestens das Datum des 1. November 2026 aufweisen muss.

Hardware-Komponenten und herstellerspezifische Updates

Der erweiterte Patch-Stand vom 5. November 2026 schließt zusätzlich sechs kritische Sicherheitslücken im Kernel, die Bluetooth, HID und pKVM betreffen. Fünf dieser Schwachstellen ermöglichen eine Ausweitung von Zugriffsrechten, eine weitere betrifft die Offenlegung sensibler Daten.

Auf Chipebene meldete MediaTek acht kritische Modem-Schwachstellen, während Qualcomm eine kritische Lücke in Closed-Source-Komponenten schloss. Weitere Schwachstellen mit hoher Priorität entfallen auf Zulieferer wie Arm, Imagination und Unisoc.

Hersteller wie Samsung rollen die Korrekturen im Rahmen eigener Aktualisierungen aus. Das am 3. November 2026 veröffentlichte Samsung-Bulletin umfasst neben 178 Fehlerbehebungen aus dem Google-Paket – davon 20 kritische und 157 mit hohem Schweregrad – auch 24 eigene Patches.

Davon wurden 17 näher beschrieben, darunter Schutzmaßnahmen gegen Speicherfehler im Bootloader, Umgehungen der SIM-Sperre sowie Autorisierungsprobleme in Kontakt-Widgets, der Telefon-App, Nachrichten, Kamera-Erweiterungen und dem Medien-Extraktor. Nach Angaben des Unternehmens lagen für die geschlossenen Schwachstellen keine Hinweise auf eine aktive Ausnutzung vor.