Eine einzige SMS, die nie auf dem Bildschirm erscheint, kann ein Android-Handy immer wieder aus dem Mobilfunknetz werfen und laufende Anrufe beenden, auch Notrufe. Google hat die Lücke CVE-2026-58882 im November-Bulletin behoben. Für Firmen mit Android-Geräten heisst die Aufgabe jetzt: sicherstellen, dass der Fix auch wirklich angekommen ist.
Was passiert
Die Lücke liegt im Telefonie-Framework von Android, dem Teil des Systems, der Anrufe und SMS verarbeitet. Der Forscher, der sie gefunden hat, schickt eine fehlerhafte WAP-Push-Nachricht als Daten-SMS an Port 2948. Android verarbeitet solche Nachrichten, bevor etwas in der Nachrichten-App ankommt, deshalb gibt es weder eine Mitteilung noch einen sichtbaren Absender. Ein Längenwert im Header der Nachricht wird negativ, der Fehler wird nicht abgefangen, und der Telefonprozess com.android.phone stürzt ab.
Jeder Absturz nimmt das Handy für ein bis zwei Sekunden vom Netz und beendet einen laufenden Anruf. Das eigentliche Problem ist, dass die Nachricht in der Warteschlange bleibt. Android verarbeitet sie nach jedem Neustart erneut, und das Netz stellt Nachrichten, die nicht bestätigt wurden, noch einmal zu. In den Tests des Forschers führte eine einzige Nachricht bis zu einer Woche lang zu Ausfällen, und rund zwanzig machten ein Gerät praktisch unbrauchbar. Unter Android 12 startete ein Gerät etwa alle 90 Sekunden in den Recovery-Modus neu.
Google stuft die Lücke als kritisch ein. Der eigene Eintrag beschreibt die Ursache etwas anders, als Lesezugriff ausserhalb des Speicherbereichs nach einem Integer-Überlauf, die Wirkung ist aber dieselbe. Sie erlaubt einen Denial of Service, keine Codeausführung und keinen Zugriff auf Daten, und Angriffe sind bisher keine bekannt. Ein Proof of Concept ist allerdings öffentlich, und er braucht nur die Telefonnummer.
Welche Geräte betroffen sind
Der Forscher hat den Absturz unter Android 12 bis 16 nachgestellt, unter anderem auf einem Pixel 9 und auf Samsung-Modellen der Galaxy-S- und -A-Reihe, und nennt auch Android 17 als betroffen. Googles Bulletin nennt Android 14, 15, 16 und 17, also die Versionen, die Google noch unterstützt. Android 12 und 13 sind damit betroffen, bekommen von Google aber keinen Fix.
Entscheidend ist der Sicherheits-Patch-Stand in den Geräteeinstellungen, nicht die Android-Version. Google führt den Fix unter dem Patch-Stand 2026-11-01. Er kommt nicht als Google-Play-Systemupdate, sondern nur mit der Firmware des Geräteherstellers. Samsung hat ihn am 3. November ins November-Update aufgenommen, die Verteilung hängt von Modell und Region ab. GrapheneOS liefert ihn seit der Version 2026110100 in den regulären Releases aus.
Manche Berichte und Anleitungen, darunter ein Artikel eines deutschen IT-Dienstleisters, halten den Oktober-Patch-Stand für ausreichend, und auch der Forscher sagt, die Oktober-Builds enthielten den Fix. Das Oktober-Bulletin führt ihn aber nicht auf, deshalb würden wir 2026-10-01 nicht als Schwelle verwenden.
Warum das Firmen betrifft
Ein Handy, das ständig aus dem Netz fällt, ist mehr als ein Ärgernis, wenn Menschen darauf angewiesen sind: Pikettdienst, Servicetechniker, alle, die allein arbeiten, alle, deren Handy der zweite Faktor ist. Dass auch Notrufe abbrechen, macht es bei Alleinarbeit zu einer Sicherheitsfrage.
Auch die Wiederherstellung ist eine Falle. Ein Gerät in der Neustart-Schleife bietet an, alle Daten zu löschen, und jemand an einem ausgelasteten Helpdesk wählt vielleicht genau das. heise und der Forscher beschreiben, wie sich die Nachricht ohne Zurücksetzen entfernen lässt.
Was Unternehmen jetzt tun müssen
- Den minimalen Patch-Stand in der Geräteverwaltung anheben. Setze in Intune oder einem anderen MDM den minimalen Android-Sicherheits-Patch-Stand auf 2026-11-01 und schau dir an, welche Geräte die Prüfung nicht bestehen.
- Die Verteilung pro Modell verfolgen. Jeder Hersteller liefert das Update nach eigenem Zeitplan. Prüfe bei Samsung, Google und deinen anderen Anbietern jedes Modell, das ihr einsetzt, und rechne mit Nachzüglern.
- Dafür sorgen, dass Geräte neu starten. Ein heruntergeladenes, aber nicht installiertes Update schützt nichts. Prüfe, ob die Geräte wirklich neu starten, statt es aufzuschieben.
- Mit den wichtigsten Handys anfangen. Geräte für Pikett, Aussendienst und Alleinarbeit kommen zuerst. Läuft ein Gerät mit Android 12 oder 13, frag den Hersteller nach einem Fix oder ersetze es.
- Den Helpdesk vorbereiten. Ein Handy, das ständig die Verbindung verliert oder in den Recovery-Modus startet, wird nicht zurückgesetzt, sondern eskaliert. Die Wiederherstellungsschritte des Forschers brauchen USB-Debugging, also kläre im Voraus, wie das auf verwalteten Geräten geht. Steck die SIM eines betroffenen Handys vorsichtshalber nicht in ein anderes ungepatchtes Gerät.
- Einen zweiten Kanal bereithalten. Wer erreichbar sein muss, braucht eine zweite Möglichkeit, Hilfe zu rufen. Das begrenzt den Schaden durch diese Lücke und die nächste.
Fragen zu eurer Flotte mobiler Geräte? Pentesting und Beratung →