Der Sicherheitsforscher Mark Blaszczyk hat am 29. Oktober 2026 Details zu einer schwerwiegenden Schwachstelle im Android-Betriebssystem veröffentlicht. Durch speziell manipulierte WAP-Push-Kurznachrichten lässt sich der zentrale Telefonieprozess des Betriebssystems zum Absturz bringen.
Der Angriff erfordert keinerlei Interaktion durch den Nutzer und hinterlässt keine sichtbare Nachricht im Posteingang. Die Sicherheitslücke kann laufende Telefonate und Notrufe unterbrechen sowie betroffene Smartphones in wiederholte Neustart-Schleifen versetzen.
Technische Ursache im WSP-Header-Parsing
Der Fehler liegt tief in der Systemkomponente für den SMS-Empfang, konkret in der Methode WapPushOverSms.decodeWapPdu(). Dort wird der Längenwert des WSP-Headers zunächst als 64-Bit-Ganzzahl (long) eingelesen. Anschließend erfolgt jedoch ohne vorherige Bereichsprüfung eine Typumwandlung in einen vorzeichenbehafteten 32-Bit-Integer (signed int).
Wird in diesem fünf Byte langen Feld der hexadezimale Wert 0x80000000 übergeben, entspricht dies der Zahl 2.147.483.648. Durch den fehlerhaften Cast interpretiert das System den Wert jedoch als negative Zahl -2.147.483.648. In der Folge löst die Speicheranforderung eine unbehandelte Ausnahme des Typs NegativeArraySizeException aus, die den gesamten Telefoniedienst com.android.phone unvermittelt beendet. Für diesen Absturz genügt bereits eine einzelne fehlerhafte Nachricht mit einer Gesamtlänge von lediglich 8 Byte.
Wer sein Android-Smartphone vor Hackern und technischen Ausfällen schützen möchte, sollte grundlegende Sicherheitsvorkehrungen treffen. Dieser kostenlose Ratgeber zeigt Ihnen fünf einfache Schritte, mit denen Sie Ihr Gerät sofort absichern können. 5 Schutzmaßnahmen jetzt entdecken
Unterbrochene Notrufe und drohende Neustart-Schleifen
Die unmittelbare Folge einer solchen Nachricht ist der kurzzeitige Ausfall des Telefondienstes für ein bis zwei Sekunden, wodurch aktive Gespräche abbrechen. Blaszczyk wies in seinen Untersuchungen darauf hin, dass durch wiederholte Angriffe auch Notrufe unmöglich gemacht werden könnten. Reale Angriffe außerhalb von Testumgebungen wurden bislang nicht verzeichnet.
Wiederholte Zustellversuche durch Mobilfunkbetreiber führten in Tests jedoch zu Ausfällen von bis zu einer Woche. Treffen etwa 20 derartige Nachrichten ein, kann das Smartphone in eine kontinuierliche Neustart-Schleife geraten. Bei rund 30 rasch aufeinanderfolgenden Nachrichten korrumpierte in Testläufen die SQLite-Datenbank für Roh-SMS, woraufhin das Gerät bei jedem Hochfahren abstürzte.
In solchen Fällen leitet der Android-Sicherheitsmechanismus RescueParty etwa alle 90 Sekunden Wiederherstellungsversuche ein und fordert Nutzer im Wiederherstellungsmodus zum Löschen sämtlicher Daten auf.
Experten raten dringend davon ab, diese Löschfunktion auszuwählen, da sie das Problem oft nicht behebt, wenn der Netzbetreiber die schädlichen Nachrichten erneut zustellt. Eine Wiederherstellung ist laut Blaszczyk stattdessen über eine Verbindung zum Computer mittels der Android Debug Bridge (ADB) möglich.
Kontroverse um Einstufung und lückenhafte Behebung
Hinsichtlich der Behebung und Einstufung des Problems herrscht Uneinigkeit. Google stufte die Meldung am 29. Oktober 2026 als Nicht-Sicherheitsfehler ein und schloss den Vorgang ohne formelle Fehlerkorrektur, weshalb zunächst kein offizieller CVE-Bezeichner vergeben wurde.
In Teilen der IT-Sicherheitsbranche wird der Fehler hingegen unter der Kennung CVE-2026-58882 mit dem Schweregrad Kritisch geführt und als Gegenstand kommender Sicherheitsbulletins gehandelt. Ein Machbarkeitsnachweis für den Angriff wurde zudem auf GitHub öffentlich zugänglich gemacht.
Ein veraltetes System kann zur Gefahr für die eigenen Daten werden, da Kriminelle bekannte Schwachstellen gezielt ausnutzen. Erfahren Sie in diesem kostenlosen Report, wie Sie durch die richtigen Updates Ihr Smartphone dauerhaft vor Malware und unbefugtem Zugriff schützen. Kostenlosen Android-Update-Guide herunterladen
Auf Code-Ebene existiert bereits seit dem 15. Juni 2026 ein Fix von Google im AOSP-Zweig, der Laufzeitfehler abfängt und die Nachricht aus der Roh-SMS-Datenbank entfernt. Dieser Commit wurde am 5. August 2026 eingecheckt und im Oktober 2026 öffentlich in das Android Open Source Project übertragen.
Für die Versionen Android 14 bis Android 17 ist die Fehlerbehebung im Sicherheitsupdate für Oktober 2026 vorgesehen, wobei Hersteller abseits der Pixel-Reihe die Patches oft erst mit Verzögerungen von Wochen oder Monaten an Endkunden verteilen.
Android 12 und 13 erhalten laut Blaszczyk keinen offiziellen Patch mehr und bleiben verwundbar, sofern Dritthersteller keine eigenen Updates bereitstellen. Neuere Schutzfunktionen in Android 17 gegen 2G-Downgrades blockieren den spezifischen Verarbeitungsfehler im SMS-Dienst nicht.