OnePlus bestätigt: OxygenOS-Smartphones haben massive SMS-Lücke

Wer ein Smartphone der Oppo-Tochter OnePlus verwendet, muss aktuell besonders wachsam sein, was die Installation neuer Apps angeht. Aufgrund einer schwerwiegenden Schwachstelle könnten Malware-Akteure bei den OxygenOS-basierten Geräten den Inhalt von SMS-Nachrichten abgreifen.

Malware-Autoren können SMS-Codes abgreifen

Nutzt man ein OnePlus-Smartphone mit der OxygenOS genannten angepassten Version von Android, besteht laut dem Sicherheitsdienstleister Rapid7 die Gefahr, dass Angreifer mit entsprechenden Apps Zugriff auf die auf den Geräten empfangenen SMS-Nachrichten erlangen könnten. Sie könnten so unter anderem Codes für die Zweifaktor-Anmeldung oder persönliche Daten abgreifen, heißt es.

Die Schwachstelle, die unter der Kennung CVE-2025-10184 dokumentiert ist, erlaubt es laut Rapid7 Apps von Drittanbietern die in SMS und MMS enthaltenen Informationen zu erfassen, ohne dass der Nutzer dies mitbekommt. Die Lücke erlaube einen Zugriff ohne Erlaubnis, Interaktion oder Benachrichtigung, heißt es. Betroffen sind scheinbar alle OnePlus-Smartphones, auf denen OxygenOS in den Versionen 12, 14 oder 15 im Einsatz ist.

Lücke besteht wohl schon seit 2021

Der Sicherheitsdienstleister konnte die Schwachstelle, welche in einer Kernkomponente von Android besteht, nach eigenen Angaben auf dem OnePlus 8T und dem OnePlus 10 Pro mit den genannten Betriebssystem-Versionen nachweisen. Die Wahrscheinlichkeit, dass davon auch andere Geräte des Herstellers mit den gleichen Ausgaben von OxygenOS betroffen sind, wird als hoch eingeschätzt.

Gegenüber den Kollegen von 9to5Google erklärte OnePlus in einer Stellungnahme, dass das Sicherheitsproblem tatsächlich besteht. Man habe bereits eine Fehlerbehebung vorgenommen, die Aktualisierung der betroffenen Geräte werde weltweit im Rahmen eines Software-Updates erfolgen. Dieses soll allerdings erst ab Mitte Oktober bereitgestellt werden, womit Angreifer theoretisch gut zwei Wochen Zeit haben, um OnePlus-Smartphones mit Malware anzugreifen, um die Lücke auszunutzen.

Da der Hersteller erst ab Oktober einen Fix für die SMS-Lücke seiner Smartphones ausliefern will, sollten die Nutzer von OnePlus-Smartphones bis dahin höchste Vorsicht walten lassen, gerade wenn Apps aus unbekannten Quellen installiert werden sollen. Siehe auch: