Der Sicherheitsforscher Mark Blaszczyk machte am 29. Oktober 2026 eine Android-Sicherheitslücke öffentlich: Eine präparierte WAP-Push-Datennachricht kann Androids Telefonieprozess com.android.phone abstürzen lassen, ohne dass der Empfänger sie öffnet. Ein AOSP-Codeänderung fängt Laufzeitfehler bei der Verarbeitung ab und löscht den Eintrag zur fehlerhaften Nachricht, um wiederholte Abstürze zu verhindern.
Wie die WAP-Push-Nachricht den Telefonieprozess abstürzt
WAP Push ist ein Nachrichtentyp, den Android automatisch verarbeitet, bevor er im Posteingang erscheint. Blaszczyk zufolge kann eine fehlerhafte Längenangabe beim Einlesen der Nachricht einen ungültigen Array-Wert erzeugen. Die daraus entstehende Ausnahme beendet com.android.phone.
Der Ausfall betrifft damit die Telefoniefunktion: Der Mobilfunkdienst kann unterbrochen werden und aktive Gespräche können abbrechen, auch Notrufe. Blaszczyk berichtet, dass wiederholte Zustellversuche des Mobilfunkanbieters erneute Abstürze auslösen können.
Was Googles Codeänderung bewirkt
Der AOSP-Commit 735d967 fängt RuntimeException beim Dekodieren von WAP-Push-Nachrichten und während der SMS-Verarbeitung ab. Anschließend löscht Android den fehlgeschlagenen Tracker aus der Rohdatenbank. So soll derselbe fehlerhafte Eintrag keine dauerhafte Absturzschleife auslösen. Der Commit wurde am 15. Juni 2026 verfasst und am 5. August 2026 eingetragen.
Im englischsprachigen Sicherheitsrückblick von SavvyNik geht es unter anderem um den WAP-Push-Fehler und seine Folgen für die Telefonie. Der Beitrag ist ein kurzer Kommentar in einer Zusammenfassung mehrerer Sicherheitsthemen.
Getestete Android-Versionen und gemeldeter Patchbereich
Blaszczyk berichtet, den Absturz unter Android 12 bis 16 reproduziert zu haben. Zu seinen genannten Testgeräten gehören ein Pixel 9 mit Firmware vom April 2026 sowie Geräte der Samsung-Galaxy- und A-Reihe. Für die Korrektur im Oktober-Update nennt er Android 14 bis 17; Android 12 und 13 liegen nach seiner Darstellung außerhalb des offiziellen Fixumfangs.
Google schreibt im Android-Sicherheitsbulletin für Oktober 2026, dass Patchlevel 2026-10-01 oder höher die in diesem Bulletin aufgeführten Probleme behebt. Für den konkreten WAP-Push-Fehler stammt die Zuordnung zu Android 14 bis 17 aus Blaszczyks Angaben.
Das Bulletin führt CVE-2026-58865 als kritischen Denial-of-Service-Fehler im Framework für AOSP-Versionen 14, 15, 16, 16-QPR2 und 17. Es ordnet diese CVE nicht dem WAP-Push-Fehler zu. Auch CVE-2026-58882, eine für die Schwachstelle verbreitete Kennung, wird dort nicht als deren Kennung geführt.
