Android „SMS of Death“: Proof of Concept für CVE-2026-58882 öffentlich
Für die Android-Lücke CVE-2026-58882 ist ein Proof of Concept öffentlich. Eine unsichtbare SMS bringt com.android.phone zum Absturz, Gespräche und Notrufe brechen ab. Schutz bietet der Patch-Level 2026-10-01 auf Android 14 bis 17, Android 12 und 13 erhalten keinen Fix.
Für die Android-Schwachstelle CVE-2026-58882, vom Entdecker „SMS of Death“ getauft, ist seit dem 29. Oktober eine technische Beschreibung samt öffentlichem Proof of Concept verfügbar. Eine einzige manipulierte SMS bringt den Telefoniedienst von Android zum Absturz, laufende Gespräche brechen ab, auch Notrufe. Der Empfänger muss dafür nichts tun und sieht die Nachricht nicht.
Geschützt sind Geräte mit Android 14 bis 17 und Sicherheitspatch-Level 2026-10-01 oder neuer. Android 12 und 13 bleiben laut Entdecker ohne Fix. Admins mit verwalteten Android-Flotten sollten jetzt den Patchstand prüfen, weil der Angriff nur die Telefonnummer des Opfers voraussetzt.
Was ist passiert?
Der Sicherheitsforscher Mark B. hat die Lücke am 5. Mai 2026 an Googles Android-Bug-Bounty-Programm gemeldet und sie am 29. Oktober 2026 öffentlich beschrieben. Betroffen ist die Verarbeitung von WAP-Push-Nachrichten in der Komponente WapPushOverSms des Telefonie-Frameworks. Ein fehlerhaft geprüfter Längenwert in einer präparierten Daten-SMS löst eine nicht abgefangene Ausnahme aus, der Prozess com.android.phone stürzt ab und startet neu.
Pro Nachricht fällt der Mobilfunk laut Forscher ein bis zwei Sekunden aus. Weil der Netzbetreiber nicht bestätigte Nachrichten erneut zustellt und Android sie beim Start wieder verarbeitet, kann der Absturz sich wiederholen. Mit rund 20 Nachrichten war ein Gerät im Test längere Zeit unbenutzbar. Ein Gerät mit Android 12 startete laut BleepingComputer etwa alle 90 Sekunden in den Wiederherstellungsmodus. Getestet wurden nach Angaben des Forschers unter anderem ein Pixel 9 sowie verschiedene Samsung-Galaxy-Modelle.
Google hat den Fehler mit dem Commit „Fix remote DoS in decodeWapPdu“ behoben, der im Oktober-Sicherheitsupdate für Android 14 bis 17 enthalten ist. Der Fix fängt den Fehler ab und löscht die auslösende Nachricht aus der SMS-Datenbank. Im öffentlichen Android Security Bulletin für Oktober 2026 taucht CVE-2026-58882 nach eigener Prüfung nicht auf, das deckt sich mit dem Bericht von BleepingComputer.
Wer ist betroffen?
Betroffen sind Android-Smartphones mit Mobilfunkanschluss und einem Patch-Level vor 2026-10-01. Das schließt Geräte ein, deren Hersteller das Oktober-Update noch nicht ausgeliefert hat. Android 12 und 13 erhalten keine Sicherheitsupdates mehr und bleiben verwundbar. Nicht betroffen sind iPhones sowie Android-Geräte ohne SIM-Karte, etwa reine WLAN-Tablets, weil der Angriff über eine SMS läuft.
Wie kritisch ist das?
Es handelt sich um einen Denial of Service. Codeausführung oder Datenabfluss beschreibt der Forscher nicht. Der Schaden ist trotzdem real: Ein Angreifer kann ein Diensthandy aus der Ferne unerreichbar machen und Notrufe verhindern, solange der Angriff läuft. Mit dem veröffentlichten Proof of Concept ist die Hürde niedrig, Hinweise auf breite Angriffe liegen bisher nicht vor. Für Bereitschaftsdienste, Außendienst und Alleinarbeitsplätze mit Notruffunktion ist die Lücke deshalb relevanter als für Büroarbeitsplätze.
Was sollten Admins jetzt tun?
- Im MDM alle Android-Geräte nach Android-Version und Sicherheitspatch-Level auswerten. Ziel ist Patch-Level 2026-10-01 oder neuer.
- Geräte mit Android 12 und 13 identifizieren und den Austausch planen, besonders bei Rufbereitschaft und Notruf-Anwendungen.
- Ausstehende Herstellerupdates aktiv anstoßen und Compliance-Regeln für den Mindest-Patchstand im MDM nachschärfen.
- Helpdesk informieren: Plötzliche Funklöcher, abgebrochene Gespräche oder Neustartschleifen ohne sichtbare SMS können auf diesen Angriff hindeuten.
- Bei betroffenen Geräten keinen vorschnellen Werksreset auslösen. Der Forscher beschreibt eine Bereinigung per ADB, ein Community-Werkzeug namens WapGuard automatisiert das Entfernen hängender Nachrichten. Beides ist kein offizielles Google-Werkzeug und ersetzt das Update nicht.
Einordnung für Unternehmen
Die Lücke zeigt, wie lange alte Android-Versionen in Firmen weiterlaufen und wie wenig sie geschützt sind. Ein Gerät, das nur noch telefonieren soll, ist hier gerade beim Telefonieren angreifbar. Kleine Unternehmen ohne MDM sollten zumindest die Diensthandys einmal durchgehen und den Patch-Level unter Einstellungen, Sicherheit ablesen. Weil Google die CVE nicht im Oktober-Bulletin führt, schlagen Schwachstellenscanner, die sich auf das Bulletin stützen, unter Umständen nicht an. Maßgeblich ist der Patch-Level, nicht die CVE-Liste.
Passende Anleitungen auf S-EDV
- Android-Patchday Juni 2026: Zero-Day und 124 Korrekturen
- Android 17 und Pixel Drop: neue Funktionen und Sicherheit
