Eine kürzlich gemeldete Android-Schwachstelle, die vom Sicherheitsforscher Mark Blah als „SMS of Death“ bezeichnet wurde, kann den Mobilfunkdienst stören oder bestimmte Telefone durch eine Reihe speziell präparierter SMS-Nachrichten zum Absturz bringen. Die Schwachstelle wird als CVE-2026-58882 geführt und erfordert nicht, dass der Empfänger die Nachricht öffnet.
Das Android-System verarbeitet die bösartige Nachricht, bevor sie den normalen Posteingang erreicht. Laut Blah können die Nachrichten nach einem Neustart in der Warteschlange verbleiben und jedes Mal erneut verarbeitet werden, wenn das Telefon startet, wodurch es möglicherweise wiederholt abstürzt, bis die Nachrichten entfernt werden.
Die Schwachstelle betrifft Android-Versionen 12 bis 16 und wurde auf mehreren Geräten beobachtet, darunter Pixel-9- und Samsung-Galaxy-Telefone. Sie kann aktive Anrufe, einschließlich Notrufen, unterbrechen, weil sie den für Mobilfunkfunktionen zuständigen Android-Prozess beeinträchtigt.
Der Angriff nutzt eine fehlerhafte Validierung der Länge eines Headers in der Android-Funktion WapPushOverSms.decodeWapPdu aus. Eine fehlerhafte WAP-Push-Nachricht kann einen negativen Wert erzeugen, den das System für die Speicherzuweisung zu verwenden versucht. Dadurch wird eine NegativeArraySizeException ausgelöst und der Prozess com.android.phone stürzt ab. Dem Bericht zufolge reichen 20 bösartige Nachrichten aus, um den Absturz auszulösen.
Google scheint das Problem mit dem Android-Sicherheitsupdate vom Oktober 2026 für die Versionen 14 bis 17 behoben zu haben. Die Fehlerbehebung fängt die durch die Nachrichten verursachten Ausnahmen ab und entfernt die Nachrichten aus der SMS-Datenbank, damit sie nicht wiederholt verarbeitet werden. Für Geräte, auf denen noch Android 12 oder 13 läuft, scheint das Update nicht verfügbar zu sein.
Tom’s Guide kontaktierte Google, nachdem in dem Bericht behauptet worden war, das Problem sei als „nicht prioritär“ eingestuft worden. Zum Zeitpunkt der Veröffentlichung hatte Google jedoch noch nicht auf die Anfragen reagiert.
Android-Sicherheitsupdates werden auf unterstützten Geräten im Allgemeinen automatisch installiert, wobei die Verfügbarkeit vom Telefonhersteller und vom Mobilfunkanbieter abhängt. Nutzer sollten prüfen, ob das Oktober-Update installiert ist, und das Telefon gegebenenfalls neu starten, um den Vorgang abzuschließen. Der Bericht deutet darauf hin, dass der Angriff offenbar nicht weit verbreitet eingesetzt wird. Da jedoch ein funktionsfähiger Proof of Concept veröffentlicht wurde, ist es wichtig, kompatible Geräte auf dem neuesten Stand zu halten.
Quellen: Tom's Guide.