Google reagiert auf gefährliche Android-Sicherheitslücke

Ein Sicherheitsforscher hat eine kritische Schwachstelle in Android entdeckt, die es Angreifern ermöglicht, Smartphones durch speziell präparierte SMS zum Absturz zu bringen. Mark Blaszczyk, der die Lücke identifiziert hat, bezeichnet sie als "SMS des Todes". Die Schwachstelle trägt die offizielle Bezeichnung CVE-2026-58882 und betrifft alle Android-Versionen ab Android 12 bis zur neuesten Version Android 17. Die Sicherheitslücke nutzt eine Technik namens WAP-Push, die ursprünglich von Netzbetreibern zur Übertragung von Konfigurationsanweisungen an Mobilgeräte entwickelt wurde. Angreifer können durch den Versand dieser unsichtbaren SMS, die nicht im Posteingang des Nutzers erscheinen, das Smartphone zum Absturz bringen.

Dies geschieht ohne jegliche Interaktion des Nutzers, was die Bedrohung erheblich verstärkt. Ein Proof-of-Concept-Exploit zeigt, dass das Versenden mehrerer solcher SMS zu einem Absturz des Geräts führen kann. Das Smartphone gerät in eine Neustart-Schleife und fordert den Nutzer auf, das Gerät auf die Werkseinstellungen zurückzusetzen, was den Verlust aller Daten zur Folge hat. Blaszczyk beschreibt den Prozess als Zero-Click-Denial-of-Service, da der Nutzer keinerlei Maßnahmen ergreifen muss, um betroffen zu sein. Die Auswirkungen dieser Sicherheitslücke sind gravierend.

Aktive Anrufe, einschließlich Notrufe, können unterbrochen werden, während das Gerät neu gestartet wird. Bei Tests wurde festgestellt, dass eine einzige Nachricht zu Dienstunterbrechungen von 1–2 Sekunden führen kann, während der Prozess com.android.phone neu gestartet wird. Die erneute Zustellung durch den Netzbetreiber kann das Problem weiter verschärfen, da nicht bestätigte Nachrichten erneut gesendet werden. Die Sicherheitslücke bleibt auch nach einem Neustart des Geräts bestehen, da die fehlerhafte Nachricht in der Warteschlange verbleibt. Dies kann dazu führen, dass das Telefon beim Starten erneut abstürzt, bis die Nachricht gelöscht wird.

Blaszczyk berichtet, dass im Test eine einzige Nachricht zeitweise Ausfälle von bis zu einer Woche verursachte, während etwa 20 Nachrichten das Gerät für einen längeren Zeitraum unbrauchbar machen können. Google hat auf die Entdeckung reagiert und plant, einen Patch für die Android-Versionen 14 bis 17 bereitzustellen. Die Verfügbarkeit des Updates hängt jedoch vom jeweiligen Smartphone-Hersteller ab. Für die älteren Versionen Android 12 und Android 13 wird Google voraussichtlich keine Sicherheitsupdates mehr bereitstellen. Die Entdeckung dieser Schwachstelle wirft Fragen zur Sicherheit von Android-Geräten auf, insbesondere da sie in der neuesten Version des Betriebssystems vorhanden ist.

Nutzer werden dringend geraten, ihre Geräte regelmäßig zu aktualisieren, um sich vor potenziellen Angriffen zu schützen. Die Sicherheitslücke wurde bereits in den November-Updates von Google erwähnt, die über 200 Sicherheitslücken in Android schließen. Blaszczyk hat die Eigenheiten der Schwachstelle detailliert dokumentiert und warnt vor den Gefahren, die von dieser Art von Angriff ausgehen. Die Tatsache, dass die SMS für den Nutzer unsichtbar bleibt, macht es besonders schwierig, sich vor solchen Angriffen zu schützen.

Die Sicherheitsgemeinschaft wird die Entwicklungen in dieser Angelegenheit genau beobachten. Die Entdeckung der Schwachstelle und die Reaktion von Google verdeutlichen die anhaltenden Herausforderungen im Bereich der IT-Sicherheit. Nutzer sollten sich bewusst sein, dass selbst die neuesten Technologien anfällig für Angriffe sein können. Die Sicherheitslücke CVE-2026-58882 ist ein Beispiel für die Komplexität moderner Mobilfunktechnologien und die Notwendigkeit, Sicherheitsmaßnahmen kontinuierlich zu verbessern.