SMS OF DEATH: WENN DAS DIENSTHANDY IM NOTFALL SCHWEIGT

Eine einzige SMS reicht, um ein Android-Smartphone vom Mobilfunknetz zu trennen. Die Schwachstelle mit dem Spitznamen „SMS of Death“ (CVE-2026-58882 [prüfen]) bringt den Telefoniedienst von Android zum Absturz, ohne dass die Nutzerin oder der Nutzer etwas tun muss. Laufende Gespräche brechen ab, auch Notrufe. Daten werden dabei nach dem aktuellen Kenntnisstand nicht abgegriffen. Kritisch ist die Lücke trotzdem: Wer im Ernstfall nicht erreichbar ist, kann nicht reagieren.

Zeitgleich hat Google mit dem November-Patchday eine zweite, schwerwiegendere Lücke geschlossen (CVE-2026-58868), die unter Umständen Codeausführung aus der Ferne erlaubt. Beide Probleme behebt dasselbe Update.

Betroffen? Rufen Sie bei der 24/7-Notfallhotline der Trufflepig IT-Forensics GmbH an: +49 157 92500100

Auf einen Blick

Was ist die „SMS of Death“?

Android verarbeitet bestimmte Service-SMS (sogenannte WAP-Push-Nachrichten) automatisch im Hintergrund. Diese Nachrichten tauchen nie im Posteingang auf. Ein Fehler beim Auslesen einer solchen Nachricht bringt den Systemprozess zum Absturz, der Anrufe, SMS und die Netzverbindung steuert.

Die Folgen für Betroffene:

• Jede manipulierte Nachricht trennt das Gerät für ein bis zwei Sekunden vom Netz.
• Laufende Telefonate, auch Notrufe, brechen ab.
• Weil das Gerät den Empfang nicht bestätigt, wird die Nachricht erneut zugestellt. Die Telefonie stürzt immer wieder ab.
• Ein Zurücksetzen auf Werkseinstellungen kann gespeicherte Nachrichten entfernen. Vor der nächsten SMS schützt es nicht.

Für einen Angriff genügt die Telefonnummer des Opfers. Ein Proof-of-Concept ist seit Ende Oktober 2026 öffentlich verfügbar.

Warum ein „harmloser“ Absturz kritisch ist

Technisch handelt es sich um einen Denial-of-Service-Angriff (DoS). Der Fehler steckt in sogenanntem Managed Code (Java) des Telefonie-Frameworks. Es gibt keine Speicherkorruption. Eine Ausweitung zu Codeausführung oder Datendiebstahl ist nach aktuellem Stand nicht möglich.

Das Risiko liegt woanders: in der Erreichbarkeit. Stellen Sie sich vor, Ihr Unternehmen wird angegriffen, und weder die IT-Leitung noch die Geschäftsführung ist telefonisch erreichbar. Rufbereitschaften, Eskalationsketten und Freigaben laufen ins Leere. Gerade bei einem Sicherheitsvorfall zählt jede Minute, nicht zuletzt wegen der Meldepflichten nach NIS2. Blogpost: NIS 2 im Überblick [prüfen: URL]

Die zweite Lücke: CVE-2026-58868

Im November-Bulletin stuft Google eine weitere Schwachstelle als kritisch ein. Ein Speicherfehler im Android-Framework könnte es Angreifern unter Umständen erlauben, Code aus der Ferne auszuführen, ohne Zutun der Nutzer. Betroffen sind Android 14 bis 17. Wie ein Angreifer die Lücke erreicht, ist nicht veröffentlicht. Aktive Angriffe sind bislang nicht bekannt.

Wer ist betroffen?

• Android-Smartphones mit Android 14 bis 17 ohne aktuellen Sicherheitspatch
• Android-Smartphones mit Android 12 und 13: Sie enthalten den fehlerhaften Code laut Sicherheitsforscher ebenfalls, erhalten aber keinen Patch mehr
• iPhones sind nicht betroffen

Diensthandys sind dabei ein oft vergessener Angriffspunkt. Laptops und Server werden zentral gepatcht, Smartphones hängen häufig Wochen oder Monate hinterher, weil Hersteller und Mobilfunkanbieter Updates nach eigenem Zeitplan verteilen.

Patch-Status

Google hat beide Lücken behoben. Maßgeblich ist das Datum unter „Android-Sicherheitsupdate“. Es sollte 1. November 2026 oder neuer lauten. Wann das Update auf einem Gerät ankommt, hängt vom Hersteller ab.

Sofortmaßnahmen für Unternehmen

• Schritt 1: Patch-Stand prüfen. Einstellungen → Über das Telefon → Android-Version → Android-Sicherheitsupdate. Datum ab 1. November 2026 = geschützt.
• Schritt 2: Update-Richtlinie im MDM verschärfen. Stellen Sie die Update-Policy in Ihrem Mobile Device Management auf „automatisch und sofort“. So landen Sicherheitspatches ohne Verzögerung auf allen Diensthandys.
• Schritt 3: Altgeräte ersetzen. Geräte ohne verfügbares Update lassen sich nicht schützen. Sie gehören ausgetauscht, zuerst bei allen Personen in Notfall- und Eskalationsketten.
• Schritt 4: Notfallkette absichern. Hinterlegen Sie für Schlüsselpersonen einen zweiten Kommunikationsweg, etwa Festnetz, ein zweites Gerät oder einen Messenger über WLAN.

Einordnung: Das ist das neue Normal

Lücken wie diese gab es schon immer. Jeden Tag werden Hunderte Schwachstellen veröffentlicht, die meisten betreffen nur wenige Systeme. Neu ist die Schlagzahl: Gefühlt vergeht kaum noch ein Tag ohne eine Lücke, die eine breite Masse an Geräten trifft. Blogpost: Dirty Frag: Warum jedes Linux-System gerade verwundbar ist

Unsere Einschätzung: Ein wesentlicher Treiber ist künstliche Intelligenz, die das Finden und Auswerten von Schwachstellen massiv beschleunigt. Die Welt geht davon nicht unter. Aber die Beschleunigung ist da, und Unternehmen müssen ihre Update-Prozesse darauf einstellen. Wer erst Wochen nach einem Patch reagiert, ist zu langsam.

Häufige Fragen

Nein. Die Nachricht wird automatisch verarbeitet und erscheint nie im Posteingang.

Nein. Die Lücke führt nur zum Ausfall der Telefonie. Die zweite Lücke CVE-2026-58868 ist davon unabhängig und wird mit demselben Update geschlossen.

Am Datum des Android-Sicherheitsupdates in den Einstellungen. Es sollte 1. November 2026 oder neuer sein.

Ersetzen. Ein Workaround existiert nicht.

Wie Trufflepig helfen kann

Wir unterstützen Sie dabei, Ihre mobile Geräteflotte abzusichern und Ihre Notfallkommunikation krisenfest aufzustellen. Unsicher, ob Ihre Diensthandys betroffen sind? Nehmen Sie noch heute Kontakt zu uns auf.

Sofort-Hilfe bei Bedarf: +49 157 92500100

Speichern Sie die Nummer jetzt ab! Im Ernstfall zählt jede Minute.

Kontakt Deutschland Trufflepig IT-Forensics GmbH Hopfenstraße 28 85283 Wolnzach

+49 8441 4799976 kontakt@trufflepig-forensics.de

Kontakt Schweiz Trufflepig IT-Forensics AG Avenue Beauregard 1 1700 Freiburg

+41 26 588 01 82 kontakt@trufflepig-forensics.ch