Der Sicherheitsforscher Mark Blaszczyk hat eine gravierende Schwachstelle in Android öffentlich gemacht, die er „SMS des Todes“ nennt. Wie heise online und BleepingComputer berichten, betrifft die Lücke CVE-2026-58882 offenbar die Android-Versionen 12 bis 17. Eine einzige manipulierte WAP-Push-SMS genügt, um den Telefoniedienst des Geräts abstürzen zu lassen. Aktive Anrufe, auch Notrufe, werden dabei unterbrochen. Die Nachricht erscheint nicht im Posteingang, der Angriff erfordert keine Aktion des Opfers.
Laut Blaszczyk startet ein betroffenes Gerät dann etwa alle 90 Sekunden neu, weil Android die schädliche Nachricht bei jedem Neustart erneut verarbeitet. Im Wiederherstellungsmodus sollten Betroffene keinesfalls „Wipe data“ wählen, sonst gehen alle Daten verloren; zur Rettung ist eine Verbindung per Android Debug Bridge nötig. Ursache ist ein ungeprüfter Typecast, durch den ein manipulierter Längenwert zu einer negativen Arraygröße wird.
Blaszczyk informierte Google nach eigenen Angaben am 5. Mai. Ein Patch für Android 14 bis 17 wurde laut heise im Oktober bereitgestellt, soll aber erst im November-Bulletin als kritisch aufgeführt werden. Für Android 12 und 13 ist kein Fix zu erwarten. Da Updates über die Gerätehersteller verteilt werden, dürften noch viele Geräte angreifbar sein.
