Das IT-Sicherheitsunternehmen Bitdefender hat am 5. November 2026 Details zu einer schwerwiegenden Schwachstelle namens GhostMap veröffentlicht. Durch eine speziell präparierte App kann ein Android-Smartphone in eine Endlosschleife aus Systemabstürzen versetzt werden. Bemerkenswert daran ist, dass die bösartige Anwendung weder Berechtigungen benötigt noch vom Nutzer aktiv geöffnet werden muss, um den Schaden anzurichten.
Technischer Hintergrund der Parser-Diskrepanz
Nach Angaben von Bitdefender liegt die Ursache des Problems in einem sogenannten Parser-Differential. Bei der Verarbeitung von Dateien prüft die Systemkomponente libziparchive die deklarierte Entpackgröße lediglich bei der Methode kCompressStored. Gleichzeitig behandelt libandroidfw alles außer kCompressDeflated als unkomprimiert abgelegt.
Da das 16-Bit-Methodenfeld einen dritten Wert zulässt, erzeugt das System ein überdimensioniertes mmap im Arbeitsspeicher. Sobald der erste Lesezugriff jenseits des tatsächlichen Dateiendes erfolgt, löst dies das Signal SIGBUS (BUS_ADRERR) aus. In Testreihen des Sicherheitsunternehmens wurde eine APK-Datei mit einer Größe von 8.408 Bytes auf rund 16 MB gemappt. Die fehlerhafte Speicheradresse lag dabei etwa 197.000 Bytes jenseits des Dateiendes.
Endlosschleife lähmt das Smartphone
Die Fehlfunktion führt dazu, dass der zentrale Systemprozess system_server wiederholt abstürzt. Der erste Absturz ereignet sich den Forschern zufolge bereits etwa eine Sekunde nach Abschluss der Installation. In Tests wurden 110 aufeinanderfolgende Absturzzyklen im regulären Betriebsmodus sowie 72 Zyklen im abgesicherten Modus gezählt.
Betroffen sind laut Bitdefender alle Versionen ab Android 10. Das Unternehmen konnte die Schwachstelle auf einem Google Pixel 10 unter Android 17 mit dem Sicherheitsflicken vom 5. August 2026 reproduzieren. Entdeckt worden war die GhostMap-Lücke bereits am 12. August 2026 bei der Untersuchung eines Banking-Droppers, der damals gezielt Emulatoren zur automatisierten Sicherheitsanalyse zum Absturz gebracht hatte.
Millionen Android-Nutzer sind täglich Hackern schutzlos ausgeliefert – ohne es zu wissen. Ein veraltetes Smartphone ist wie eine offene Haustür für Cyberkriminelle. Dieser kostenlose Report zeigt, wie Sie sich schützen. Android-Sicherheit erhöhen und Lücken schließen
Reaktion von Google und fehlende Sicherheitsflicken
Google reagierte zurückhaltend auf die Hinweise der IT-Sicherheitsexperten. Am 20. August 2026 schloss der Konzern einen ersten Bericht über GhostMap mit dem Vermerk, der Fehler sei nicht reproduzierbar und werde nicht behoben.
Als Bitdefender am 25. August 2026 einen zweiten Bericht mit einem funktionierenden Machbarkeitsnachweis einreichte, stufte Google das Problem als außerhalb des Rahmens regulärer Sicherheitsupdates ein und leitete den Vorgang an ein Feature-Entwicklungsteam für zukünftige Betriebssystemversionen weiter.
Bislang existiert weder eine offizielle CVE-Kennung noch ein bereitgestellter Sicherheitsflicken, und eine Fehlerbehebung wurde seitens des Plattformbetreibers nicht zugesagt. Drittanbieter-Sicherheitstools sind derzeit nicht in der Lage, die reine Installation solcher bösartigen Anwendungen auf Betriebssystemebene zu unterbinden.
Bitdefender selbst erkennt die entsprechende Datei intern unter der Kennung Android.Riskware.Ghostmap.rA. Angriffe auf reale Nutzer wurden nach Unternehmensangaben bislang allerdings noch nicht registriert.
Wer sein Android-Smartphone in wenigen Minuten gegen Hacker absichern möchte, findet in diesem gratis PDF-Ratgeber 5 einfache Schritte, die jeder sofort umsetzen kann. Kostenlosen Sicherheits-Ratgeber jetzt herunterladen
Eingeschränkte Möglichkeiten zur Wiederherstellung
Die Wiederherstellung eines betroffenen Geräts gestaltet sich schwierig. Als einzig verlässliche Lösung gilt nach Angaben von Bitdefender das Zurücksetzen auf die Werkseinstellungen, was jedoch mit dem vollständigen Verlust aller lokal gespeicherten Daten einhergeht.
Eine Deinstallation über die Android Debug Bridge (ADB) ist theoretisch möglich, setzt jedoch voraus, dass USB-Debugging bereits vor dem Vorfall aktiviert war und der Eingriff vor dem ersten Neustart des Kernels erfolgt.
Aus der Sicherheitsforscher-Community liegt mittlerweile ein technisches Dokument vor, das die Diskrepanz in den ZIP-Parsern detailliert beschreibt und eine Methode zur Offline-Prüfung ohne Ausführung auf aktiven Geräten darstellt; auch hier wird bestätigt, dass ein Hersteller-Patch weiterhin aussteht.
Sicherheitsexperten raten Android-Nutzern daher dringend dazu, Anwendungen ausschließlich über den Google Play Store oder verifizierte Quellen zu beziehen, auf die manuelle Installation unbekannter APK-Dateien zu verzichten und vorsorglich regelmäßige Datensicherungen anzulegen.