Ein Sicherheitsforscher hat am 29. Oktober 2026 Details zu einer schwerwiegenden Schwachstelle im Android-Betriebssystem veröffentlicht, die durch manipulierte WAP-Push-Nachrichten ausgelöst werden kann. Der Fehler ermöglicht es Angreifern, den zentralen Telefonieprozess ohne Nutzerinteraktion zum Absturz zu bringen und betroffene Geräte im Extremfall in dauerhafte Neustart-Schleifen zu zwingen.
Schwachstelle in der SMS-Verarbeitung
Die Ursache für das Problem liegt in der Systemkomponente für den SMS-Empfang, genauer gesagt in der Methode WapPushOverSms.decodeWapPdu(). Dort wird ein Längenwert des WSP-Headers fehlerhaft typumgewandelt, was bei bestimmten hexadezimalen Werten zu einer unvorhergesehenen Ausnahme des Typs NegativeArraySizeException führt. Bereits eine einzelne, nur acht Byte lange Nachricht reicht aus, um den Telefondienst com.android.phone augenblicklich zu beenden.
In Testumgebungen führten wiederholte Zustellversuche durch Mobilfunkbetreiber zu massiven Beeinträchtigungen. Treffen etwa 20 schädliche Nachrichten ein, kann dies zu einer kontinuierlichen Neustart-Schleife führen. Bei rund 30 rasch aufeinanderfolgenden Nachrichten korrumpierte in Tests sogar die SQLite-Datenbank für Roh-SMS. Dies löst den Android-Sicherheitsmechanismus RescueParty aus, der Nutzer im Wiederherstellungsmodus zum Löschen aller Daten auffordert – eine Maßnahme, von der Experten abraten, da sie bei erneuter Zustellung durch das Netz meist wirkungslos bleibt.
Betroffene Versionen und Patch-Status
Google stufte den Vorfall am 29. Oktober 2026 zunächst als Nicht-Sicherheitsfehler ein und schloss den Vorgang ohne formelle Fehlerkorrektur, weshalb kein offizieller CVE-Bezeichner vergeben wurde. In Teilen der IT-Sicherheitsbranche wird das Problem hingegen als kritisch bewertet und unter der Kennung CVE-2026-58882 geführt. Ein Machbarkeitsnachweis wurde auf GitHub veröffentlicht; reale Angriffe außerhalb von Testumgebungen sind bislang nicht bekannt.
Ein Fix im Android Open Source Project (AOSP) existiert zwar bereits, ältere Betriebssystemversionen wie Android 12 und 13 erhalten laut den Untersuchungen jedoch keinen offiziellen Patch mehr und bleiben ungeschützt, sofern Hersteller keine eigenen Aktualisierungen bereitstellen. Für die Versionen Android 14 bis Android 17 ist die Fehlerbehebung im Oktober-Sicherheitsupdate vorgesehen, wobei Nutzer außerhalb der Pixel-Reihe oft auf herstellerspezifische Updates warten müssen.
