Android-Handys aller bekannten Hersteller sind von der Lücke betroffen. (Bildquelle: GameStar Tech)

Eine unsichtbare Kurznachricht genügt, um Android-Smartphones komplett lahmzulegen, laufende Notrufe zu kappen und Geräte in endlose Reboot-Schleifen zu zwingen.

Der Sicherheitsforscher Mark Blah hat auf der Projekt-Webseite »SMS of Death« einen funktionsfähigen Beweis für die als CVE-2026-58882 geführte Zero-Click-Lücke veröffentlicht.

Zwar soll Google laut Blah die Sicherheitslücke mit dem Oktober 2026-Patch für neuere Android-Handys geschlossen haben, allerdings fehlt sie in der Liste der korrigierten Probleme.

Weit schwerer wiegt, dass die Aktualisierung nur für Android 14 und neuer veröffentlicht wurde. Geräte, die noch mit Android 12 oder 13 laufen, bleiben daher zumindest vorerst verwundbar.

1:32 Mein Android-Handheld ist jetzt ein Steam Deck Mini – es war unfassbar einfach

Autoplay

So funktioniert der Angriff

Der Angriffsmechanismus ist dabei so simpel wie verheerend: Der Angreifer sendet eine speziell präparierte SMS-Nachricht an das Android-Gerät. Noch bevor der Besitzer die Information bekommt, dass eine Nachricht eingegangen ist, wird sie vom Android-System verarbeitet. Genau diese Verarbeitung führt zum Crash eines systemkritischen Prozesses, der unter anderem auch für die Anruffunktion zuständig ist.

Schickt der Angreifer gleich mehrere dieser Nachrichten, kann es zum Totalausfall des Geräts kommen. Im schlimmsten Fall kann das Handy in dauerhafte Reboot-Schleifen geschickt werden, die für viele Betroffene nur durch eine Zurücksetzung auf den Werkszustand zu lösen sind.

Laut dem Sicherheitsforscher gibt es eine weitere, technisch anspruchsvolle Methode, das System wiederherzustellen. Dafür wird das Programm Android Debug Bridge benötigt, welches von Google als Teil der Android-Entwicklungsumgebung bereitgestellt wird.

Mit speziellen Befehlen, die der Entwickler auf der oben genannten Webseite angibt, können die schadhaften Nachrichten vom System entfernt werden.

Das könnt ihr jetzt tun

Laut dem Sicherheitsforscher bietet nur das neue Oktober-Update Schutz vor möglichen Angriffen. Allerdings stellt Google den Patch nur für Geräte ab Android 14 bereit.

Solltet ihr ein Handy mit Android 14 oder höher haben, könnt ihr folgendermaßen nach Aktualisierungen suchen:

Öffnet den Punkt Einstellungen auf dem Gerät.
Tippt auf den Menüpunkt System.
Wählt Softwareupdates aus.

Das Gerät sollte hier den aktuellen Stand anzeigen. Eventuell müsst ihr die Suche nach Updates manuell starten (»Nach Updates suche«) oder »Aktualisieren« auswählen, falls ein Update bereits angeboten wird.

Gut zu wissen: Je nach Hersteller des Handys kann die Menüführung leicht abweichen. So kann es auf Samsung-Handys den Punkt Software-Update bereits nach Öffnen der Einstellungen geben.

Mehr zu Android: Android Auto könnte bald auf Millionen von Handys nicht mehr funktionieren

Für Besitzer von Handys auf denen Android 12 oder 13 läuft, gibt es kein Update und keine einfache Lösung. Die Nutzung anderer SMS-Apps oder das Deaktivieren der Standard-App bringt hier keinen Schutz, da das System die Nachricht bearbeitet, bevor sie überhaupt an eine SMS-App übergeben wird. Einzig das Update auf eine neuere Android-Version kann Abhilfe schaffen.