Acht Bytes in einer SMS, die Sie nie zu sehen bekommen, können ein Android-Handy aus dem Netz werfen
Die Nachricht erreicht Ihren Posteingang nie. Es ist ein WAP Push, jene Art stiller SMS, die Mobilfunkanbieter für Einstellungen nutzen, und sie ist acht Bytes lang. Der Forscher, der sie entdeckt hat, Mark B, veröffentlichte am 29. Oktober die vollständige Analyse auf smsofdeath.com und stellte anschließend eine funktionierende Proof-of-Concept-App auf GitHub. BleepingComputer griff die Sache am Freitag auf. Die Lücke wird als CVE-2026-58882 geführt und verlangt nichts von Ihnen. Kein Tippen, kein Link, keine Vorschau.
Was passiert, ist ein Rechenfehler. Android liest einen Längenwert aus der Nachricht, wandelt ihn in einen Zahlentyp um, der ihn nicht fassen kann, und versucht, eine negative Menge Speicher zu reservieren. Der Telefonprozess stürzt ab. Für ein, zwei Sekunden gibt es kein Mobilfunknetz, und jedes laufende Gespräch bricht ab, auch ein Notruf. Für sich genommen ist das ein Ärgernis. Das Problem ist, dass das Netz nie eine Empfangsbestätigung bekommt, der Anbieter also erneut sendet, und die gespeicherte Nachricht bei jedem Neustart des Prozesses erneut eingelesen wird. Schickt man zwanzig davon, sagt der Forscher, gerät das Handy in eine Neustartschleife. Ein Testgerät mit Android 12 startete alle 90 Sekunden in den Recovery-Modus, bis es auf Werkseinstellungen zurückgesetzt wurde.
Google erhielt die Meldung am 5. Mai, schrieb im Juni eine Korrektur und lieferte sie mit dem Sicherheitsupdate vom Oktober 2026 für Android 14 bis 17 aus, auch wenn sie im Oktober-Bulletin nicht aufgeführt ist. Android 12 und 13 liegen außerhalb des Korrekturfensters und bleiben verwundbar. Für Sie läuft die Frage also auf eine einzige Zeile in den Einstellungen hinaus, unter Sicherheit oder Über das Telefon: das Datum des Android-Sicherheitsupdates. Oktober 2026 oder neuer, und Sie sind geschützt. Ist es älter, suchen Sie nach Updates und starten Sie neu. Kommt Ihr Handy nicht über Android 13 hinaus, ist das ein Grund mehr, über einen Ersatz nachzudenken. Und sollte ein Handy nach einer solchen Salve je in einer Neustartschleife hängen, wählen Sie auf dem Recovery-Bildschirm nicht die Option zum Löschen. Ein Techniker kann die Nachrichten mit einem Kabel und einem PC entfernen.
Tendvane kümmert sich nur um die Windows-Seite, aber seine Update-Prüfung tut für Ihren PC, was diese eine Zeile in den Einstellungen für Ihr Handy tut: Sie sagt Ihnen, ob die Korrekturen längst existieren und einfach noch nicht angekommen sind.