In modernen Betriebssystemen lauern zahlreiche Sicherheitslücken, wobei Smartphones mit Internetverbindung besonders vielen Bedrohungen ausgesetzt sind. Gleichzeitig reicht es in vielen Fällen aus, die grundlegendsten Technologien zu nutzen, um den Nutzern durch „Cyberkriminelle“ Unannehmlichkeiten zu bereiten – dafür gibt es nun ein gutes Beispiel.
Der Sicherheitsforscher Mark Blaszczyk hat eine neue, besorgniserregende Sicherheitslücke entdeckt, die Smartphones betrifft, auf denen Android 12 oder eine neuere Version läuft. Um die Sicherheitslücke auszunutzen, reicht es aus, eine einzige spezielle SMS an das Gerät zu senden.
Blaszczyk, der die Schwachstelle entdeckt hat, gab ihr den Namen „Tödliche SMS“ – ein Name, der zwar nicht besonders einfallsreich ist, aber den Kern der Sache recht deutlich beschreibt. Denn sobald das Handy eine solche Nachricht erhält, stürzt es sofort ab – sofern es nicht bereits das Gegenmittel, also den Patch, erhalten hat. Die SMS wird nirgendwo angezeigt, sie wird nicht beim Öffnen aktiviert, und der Nutzer weiß nicht, was im Hintergrund passiert ist.
Die Zero-Click-Denial-of-Service-Schwachstelle besteht darin, dass der Nutzer eine speziell gestaltete WAP-Push-SMS erhält, die von den Frameworks , Android, und nicht ordnungsgemäß verarbeitet werden kann, wodurch diese zusammenbrechen. Damit lässt sich ein modernes Mobiltelefon völlig lahmlegen, wenn jemand es in großer Zahl mit solchen Nachrichten bombardiert.
WAP-Push ist eine veraltete Technologie, die von Mobilfunknetzbetreibern zum Versenden von Konfigurationsanweisungen an Mobiltelefone verwendet wurde. Heutzutage ist dies nicht mehr erforderlich, und moderne Handys wissen gar nicht mehr, was sie damit anfangen sollen, wenn eine solche „Nachricht“ in ihrem Posteingang landet. Erhalten sie diese Nachrichten zudem in großer Zahl, ähnlich wie bei einem Denial-of-Service-Angriff, können sie die Situation überhaupt nicht bewältigen und geraten möglicherweise in eine endlose Abfolge von Systemabstürzen.
Die Schwachstelle eignet sich zwar nicht zum Diebstahl von Daten, doch mit einer „tödlichen SMS“, die an ein ungeschütztes Smartphone gesendet wird, kann beispielsweise erreicht werden, dass der Nutzer niemanden erreichen kann, keinen Notruf absetzen kann und auch laufende Anrufe sofort unterbrochen werden. Sollte das Gerät von einer solchen Angriffswelle getroffen werden, ist es zudem denkbar, dass es erst nach einer Wiederherstellung der Werkseinstellungen wieder funktionsfähig gemacht werden kann.
Offiziell ist diese Sicherheitslücke unter der Kennung CVE-2026-58882 bekannt, und es gibt bereits einen Patch dafür, da Blaszczyk zuvor Kontakt zu Google aufgenommen hatte und die Experten des Suchmaschinenriesen für die Behebung des Problems gesorgt haben. Das gepatchte System stürzt beim Auftreten des Dekodierungsfehlers nicht ab, sondern erkennt das schädliche Datenpaket sofort und löscht es automatisch.
Der Sicherheitsforscher hatte den Fehler im Mai 2026 den Entwicklern gemeldet. Tests bestätigten, dass die Sicherheitslücke unter anderem auf Google-Pixel- und Samsung-Galaxy-Geräten reproduzierbar war. Alle Geräte ab Android 12 waren potenziell betroffen, doch Smartphones, die derzeit auf Android 17 aktualisiert werden, sind bereits automatisch davor geschützt.
Dieser Fix ist Teil des Sicherheitsupdates von Google im Oktober, sodass er in der nächsten Zeit reibungslos auf alle unterstützten Geräte gelangen kann.
Glücklicherweise aktualisieren Nutzer heute mehr Smartphones als je zuvor, und auch die Hersteller bemühen sich, Sicherheitspatches so lange wie möglich für ihre Geräte bereitzustellen. Es empfiehlt sich, diese Updates immer so schnell wie möglich zu installieren, um Probleme zu vermeiden. Im Falle der aktuellen Sicherheitslücke besteht jedoch kein Grund zur Sorge, dass es zu einem massiven Missbrauch kommen könnte.
