Mark B zufolge enthält das Android-Sicherheitsupdate vom Oktober 2026 eine Korrektur für eine Sicherheitslücke in Android 14 bis 17. Der Forscher beschreibt eine manipulierte WAP-Push-Datennachricht, die ohne Zutun des Empfängers verarbeitet wird und den Android-Telefonieprozess com.android.phone zum Absturz bringen kann. Seine technische Schilderung und Angaben zum Patch stehen auf der Projektseite von Mark B.

Wie die WAP-Push-Nachricht die Telefonie stört

Die Nachricht muss laut Mark B weder geöffnet noch angetippt werden. Sie werde automatisch verarbeitet und erscheine nicht wie eine gewöhnliche SMS im Posteingang. Der Forscher verortet den Fehler in WapPushOverSms, einer Komponente des Android-Telefonie-Frameworks. Eine ungeprüfte Umwandlung der WAP-Push-Kopflänge könne eine Ausnahme wegen einer negativen Arraygröße auslösen und dadurch com.android.phone abstürzen lassen.

Wenn der Prozess neu startet, kann der Mobilfunkdienst kurz ausfallen. Mark B zufolge können dabei auch aktive Anrufe abbrechen, einschließlich Notrufen. Ein einzelner Absturz ist von einer wiederkehrenden Störung zu unterscheiden: Wird eine nicht bestätigte Nachricht erneut zugestellt oder beim Neustart wieder verarbeitet, kann sich der Fehler wiederholen.

Für seine Tests berichtet Mark B von zeitweiligen Dienstausfällen, die nach einer einzelnen Nachricht bis zu einer Woche anhielten. Bei rund 20 Nachrichten sei ein Gerät längere Zeit unbenutzbar gewesen. Das sind von ihm berichtete Testergebnisse, keine allgemeine Dauer oder feste Schwelle.

Welche Android-Versionen der Patch betrifft

Mark B unterscheidet zwischen den Android-Versionen, auf denen er den Fehler nach eigener Aussage reproduzierte, dem von ihm genannten betroffenen Bereich und dem Umfang der Korrektur:

  • Reproduziert: Android 12 bis Android 16.
  • Als betroffen genannt: Android 12 bis Android 17.
  • Korrektur: Laut Mark B wurde sie im Oktober 2026 für Android 14 bis Android 17 veröffentlicht. Geräte mit Sicherheits-Patchstand Oktober 2026 oder neuer seien geschützt.

Seiner Darstellung zufolge umfasst dieses Update Android 12 und Android 13 nicht. Als Testgeräte nennt Mark B ein Pixel 9 mit Firmware vom April 2026 sowie Samsung-Galaxy-Geräte.

Wiederkehrende Störung und mögliche Wiederherstellung

Mark B beschreibt eine Wiederherstellung über ADB, bei der ausstehende Nachrichten entfernt werden können, ohne das Gerät auf Werkseinstellungen zurückzusetzen. Dafür braucht es einen Computer und einen technischen Eingriff. Der Forscher stellt diesen Weg als Möglichkeit für die beschriebene Neustartschleife dar; er ist keine pauschale Wiederherstellungsgarantie für jedes Gerät.