SMS-of-Death-Exploit bringt Android-Smartphones zum Absturz

Eine unsichtbare Nachricht legt Android-Smartphones lahm und unterbricht sogar Notrufe. Wie lässt sich das Gerät aus der Neustart-Schleife befreien, ohne alle Daten zu verlieren? Der Weg führt über den Computer und eine spezielle Kommandozeile.

Gefahr durch unsichtbare Nachricht

Eine für Nutzer unsichtbare Kurznachricht kann Android-Smartphones unbrauchbar machen. Die manipulierte Nachricht lässt den Telefoniedienst abstürzen und unterbricht laufende Gespräche, auch Notrufe. Sie kann zudem eine Neustart-Schleife auslösen.

Nach etwa 90 Sekunden fordert ein Rettungsmechanismus zum Zurücksetzen des Systems auf. Betroffene sollten im Wiederherstellungsmenü keinesfalls "Wipe data" auswählen, um Datenverlust zu vermeiden. Die Schwachstelle liegt im veralteten WAP-Push-System, über das Mobilfunkanbieter etwa Netzbetreiber-Einstellungen auf Geräte übertragen.


Bei der Verarbeitung wandelt Android einen Längenwert fälschlicherweise in eine negative Zahl um. Der Versuch, damit einen Speicherbereich anzulegen, lässt den Telefoniedienst abstürzen. Da Netzbetreiber unbestätigte Nachrichten erneut zustellen, wiederholt sich der Fehler. In Tests verursachte eine einzige SMS bis zu einer Woche lang Ausfälle. Laut dem Forscher können etwa 20 solcher Nachrichten ein Smartphone für längere Zeit unbrauchbar machen.

So gelingt die Geräterettung

Auf der Projektseite SMS of Death beschreibt der Entdecker einen Ausweg aus der Neustart-Schleife ohne Datenverlust.

Dazu müssen Nutzer das Smartphone an einen Computer anschließen und das Entwicklerwerkzeug Android Debug Bridge verwenden. Über die Kommandozeile lassen sich die fehlerhaften Nachrichten im kurzen Zeitfenster nach einem Neustart aus der Warteschlange löschen. Andernfalls bleibt das Gerät praktisch gesperrt.

Der Forscher verweist auch auf mögliche regulatorische Folgen in Australien. Dort müssen Mobilfunkanbieter Geräte sperren, die den Notruf nicht zuverlässig erreichen können. Ein Angreifer könnte demnach aus der Ferne bewirken, dass ein Provider ein betroffenes Smartphone nach 28 Tagen vom Netz trennt. Google stuft die Schwachstelle mit der Kennung CVE-2026-58882 als kritisch ein und entwickelte bereits im Juni intern eine Fehlerbehebung.

Die Sicherheitslücke "Use after free" in Microsoft Edge (Chromium-basiert) ermöglicht es einem unbefugten Angreifer, Code über ein Netzwerk auszuführen.

Ältere Geräte bleiben ungeschützt

Ein im Oktober veröffentlichter Patch für Android 14 bis 17 fängt den Fehler ab und löscht manipulierte Nachrichten automatisch. Android 12 und 13 erhalten keinen offiziellen Support mehr. Dort bleibt die Schwachstelle voraussichtlich bestehen, sofern die Hersteller keine eigenen Korrekturen bereitstellen. Nutzer neuerer Versionen sollten in den Systemeinstellungen umgehend prüfen, ob ein Sicherheitsupdate verfügbar ist.

Besitzt ihr ein älteres Android-Smartphone und sorgt euch wegen der Schwachstelle? Habt ihr das aktuelle Update bereits erhalten? Teilt eure Erfahrungen in den Kommentaren! Siehe auch: