# Neue Android Sicherheitslücke "SMS des Todes" - Oktober 2026 Updates einspielen! **URL:** \ **Category:** Allgemein\ **Tags:** android, sicherheitslücke\ **Created:** [1. November 2026 um 10:04 UTC](https://www.kuketz-forum.de/t/neue-android-sicherheitsluecke-sms-des-todes-oktober-2026-updates-einspielen/17825 "2026-11-01T10:04:09Z")\ **Posts on this page:** 20\ **Page:** 2
**Author:** ![ynMBLn4y](https://www.kuketz-forum.de/letter_avatar/ynmbln4y/32/6_22734026db12803ebb3e059622ac3534.png) [@ynMBLn4y](https://www.kuketz-forum.de/u/ynMBLn4y)\ **Post date:** [1. November 2026 um 14:59 UTC](https://www.kuketz-forum.de/t/neue-android-sicherheitsluecke-sms-des-todes-oktober-2026-updates-einspielen/17825/21 "2026-11-01T14:59:23Z")
Was ich mich frage, warum dieser „Mark B.“ so offensiv damit umgeht? Bringt dies die Hersteller tatsächlich zum Patchen? Von derzeitig tatsächlich noch unterstützen Modellen vermutlich schon. Aber wenn das letzte Update vor einem Jahr kam, wird jetzt vermutlich auch keins kommen… Oder war es ursprünglich tatsächlich [https://de.wikipedia.org/wiki/Responsible\_Disclosure](https://de.wikipedia.org/wiki/Responsible_Disclosure) ? Schließlich hat Google ja bereits einen Patch… Und GrapheneOS ist safe… Aber außer dem Source Code sogar ein vorkompiliertes APK auf GitHub ist schon „offensiv in die Öffentlichkeit gehen“. ---
**Author:** ![phone-company](https://www.kuketz-forum.de/user_avatar/www.kuketz-forum.de/phone-company/32/4436_2.png) [@phone-company](https://www.kuketz-forum.de/u/phone-company)\ **Post date:** [1. November 2026 um 15:01 UTC](https://www.kuketz-forum.de/t/neue-android-sicherheitsluecke-sms-des-todes-oktober-2026-updates-einspielen/17825/22 "2026-11-01T15:01:20Z")
Ja das wird gemacht wenn es auf die Meldung keine oder zu langsame Reaktion gibt. Dann geht man an die Öffentlichkeit ---
**Author:** ![Krone](https://www.kuketz-forum.de/letter_avatar/krone/32/6_22734026db12803ebb3e059622ac3534.png) [@Krone](https://www.kuketz-forum.de/u/Krone)\ **Post date:** [1. November 2026 um 15:14 UTC](https://www.kuketz-forum.de/t/neue-android-sicherheitsluecke-sms-des-todes-oktober-2026-updates-einspielen/17825/23 "2026-11-01T15:14:24Z")
> [@ynMBLn4y](#): > > Was ich mich frage, warum dieser „Mark B.“ so offensiv damit umgeht? Der hat das vor 6 Monaten gemeldet, das ist nicht sonderlich offensiv - üblich sind max. 3 Monate nach Meldung bis zur Veröffentlichung. ---
**Author:** ![bamf](https://www.kuketz-forum.de/letter_avatar/bamf/32/6_22734026db12803ebb3e059622ac3534.png) [@bamf](https://www.kuketz-forum.de/u/bamf)\ **Post date:** [1. November 2026 um 15:16 UTC](https://www.kuketz-forum.de/t/neue-android-sicherheitsluecke-sms-des-todes-oktober-2026-updates-einspielen/17825/24 "2026-11-01T15:16:02Z")
Ich habe die APK jetzt schnell und unkompliziert mit den SDK Platform Tools gebaut. Ich rate dringend davon ab, irgendwelche APK Dateien aus dem „Darknet“ auf dem Telefon zu installieren. ---
**Author:** ![phone-company](https://www.kuketz-forum.de/user_avatar/www.kuketz-forum.de/phone-company/32/4436_2.png) [@phone-company](https://www.kuketz-forum.de/u/phone-company)\ **Post date:** [1. November 2026 um 15:18 UTC](https://www.kuketz-forum.de/t/neue-android-sicherheitsluecke-sms-des-todes-oktober-2026-updates-einspielen/17825/25 "2026-11-01T15:18:50Z")
Ach was 😃 Okay aber muss gesagt werden. Allerdings kommst du mit den Plattform tools nicht weit 😉 damit kannst du keine APK aus dem Github bauen ---
**Author:** ![bamf](https://www.kuketz-forum.de/letter_avatar/bamf/32/6_22734026db12803ebb3e059622ac3534.png) [@bamf](https://www.kuketz-forum.de/u/bamf)\ **Post date:** [1. November 2026 um 15:41 UTC](https://www.kuketz-forum.de/t/neue-android-sicherheitsluecke-sms-des-todes-oktober-2026-updates-einspielen/17825/26 "2026-11-01T15:41:03Z")
```auto smsofdeath on  main [!?] via 🅶 v8.9 via ☕ v17.0.20 ❯ ./gradlew assembleDebug ./gradlew: 110: ulimit: Illegal option -u Warning: SDK processing. This version only understands SDK XML versions up to 3 but an SDK XML file of version 4 was encountered. This can happen if you use versions of Android Studio and the command-line tools that were released at different times. Checking the license for package Android SDK Platform-Tools in /home//Downloads/commandlinetools-linux-15859902_latest/licenses License for package Android SDK Platform-Tools accepted. Preparing "Install Android SDK Platform-Tools v.37.0.1". "Install Android SDK Platform-Tools v.37.0.1" ready. Installing Android SDK Platform-Tools in /home//Downloads/commandlinetools-linux-15859902_latest/platform-tools "Install Android SDK Platform-Tools v.37.0.1" complete. "Install Android SDK Platform-Tools v.37.0.1" finished. Task :app:compileDebugJavaWithJavac Note: /home//smsofdeath/app/src/main/java/com/markb/wappushcrash/MainActivity.java uses or overrides a deprecated API. Note: Recompile with -Xlint:deprecation for details. BUILD SUCCESSFUL in 16s 32 actionable tasks: 32 executed ``` `❯ file WapPushRemoteModemCrash.apk` `WapPushRemoteModemCrash.apk: Android package (APK), with gradle app-metadata.properties, with APK Signing Block` Komisch, hat hier einwandfrei geklappt. APK ist installiert, SMS-Rechte via ADB erteilt und bereit zum Crashen. Alles mit dem SDK Commandline-Tools. ---
**Author:** ![DigitalFee](https://www.kuketz-forum.de/user_avatar/www.kuketz-forum.de/digitalfee/32/4554_2.png) [@DigitalFee](https://www.kuketz-forum.de/u/DigitalFee)\ **Post date:** [1. November 2026 um 15:47 UTC](https://www.kuketz-forum.de/t/neue-android-sicherheitsluecke-sms-des-todes-oktober-2026-updates-einspielen/17825/27 "2026-11-01T15:47:50Z")
Was kann man denn jetzt konkret tun, um zu vermeiden, dass man ein Opfer wird, bis ein entsprechendes Update zur Verfügung steht? Smartphone ausschalten? Da die Hersteller ja teilweise extrem lange für Updates brauchen, könnte Google solch ein Update auch unbürokratisch und schnell über ein Update der Playdienste zur Verfügung stellen oder wäre das in diesem Fall nicht möglich? Und was ist mit den Mobilfunk-Providern? Haben die irgendeine Möglichkeit solche SMS vorab auszusieben? ---
**Author:** ![phone-company](https://www.kuketz-forum.de/user_avatar/www.kuketz-forum.de/phone-company/32/4436_2.png) [@phone-company](https://www.kuketz-forum.de/u/phone-company)\ **Post date:** [1. November 2026 um 16:07 UTC](https://www.kuketz-forum.de/t/neue-android-sicherheitsluecke-sms-des-todes-oktober-2026-updates-einspielen/17825/28 "2026-11-01T16:07:29Z")
Ja ich meine du solltest schon komplett Paket installiert haben. Wirst du haben da du wahrscheinlich häufiger damit zu tun hast. Komplett Android studio mit allen Komponenten. Ist aber auch egal werden hier die wenigsten testen. Hast du die App getestet? ---
**Author:** ![phone-company](https://www.kuketz-forum.de/user_avatar/www.kuketz-forum.de/phone-company/32/4436_2.png) [@phone-company](https://www.kuketz-forum.de/u/phone-company)\ **Post date:** [1. November 2026 um 16:09 UTC](https://www.kuketz-forum.de/t/neue-android-sicherheitsluecke-sms-des-todes-oktober-2026-updates-einspielen/17825/29 "2026-11-01T16:09:40Z")
Du kannst quasi erst mal nichts machen, nur hoffen das es niemand benutzt und das dein Gerät einen patch bekommt. Man kann sich via claude eine kleine Testapp bauen lassen die einfach prüft ob dein Gerät gepatcht ist Kennt jemand die CVE-Nummer bzw. das Android Security Bulletin, in dem diese WAP-Push-Lücke behoben wurde? Dann kann man eine kleine App bauen die sagt du bist wahrscheinlich safe oder eben nicht Bei manchen Geräten/Custom-ROMs gibt’s u. U. Einstellungen, binäre SMS (WAP-Push) komplett zu blockieren – aber das ist Geräte-/Hersteller-abhängig und keine verlässliche Lösung. Da müsstet ihr selbst mal schauen ---
**Author:** ![bamf](https://www.kuketz-forum.de/letter_avatar/bamf/32/6_22734026db12803ebb3e059622ac3534.png) [@bamf](https://www.kuketz-forum.de/u/bamf)\ **Post date:** [1. November 2026 um 16:30 UTC](https://www.kuketz-forum.de/t/neue-android-sicherheitsluecke-sms-des-todes-oktober-2026-updates-einspielen/17825/30 "2026-11-01T16:30:22Z")
Warum sollte ich irgendwas installieren? Ich habe die CLI Tools in einen Ordner entpackt, die Pfade in der Shell gesetzt und dann die App gebaut. Was soll ich mit Android Studio? App ist installiert, den Crash testen konnte ich mangels Ziel noch nicht. ---
**Author:** ![ynMBLn4y](https://www.kuketz-forum.de/letter_avatar/ynmbln4y/32/6_22734026db12803ebb3e059622ac3534.png) [@ynMBLn4y](https://www.kuketz-forum.de/u/ynMBLn4y)\ **Post date:** [1. November 2026 um 16:40 UTC](https://www.kuketz-forum.de/t/neue-android-sicherheitsluecke-sms-des-todes-oktober-2026-updates-einspielen/17825/31 "2026-11-01T16:40:50Z")
> [@Krone](#): > > Der hat das vor 6 Monaten gemeldet, das ist nicht sonderlich offensiv - üblich sind max. 3 Monate nach Meldung bis zur Veröffentlichung. Das hatte ich ja in gewisser Weise schon vermutet: > [@ynMBLn4y](#): > > Oder war es ursprünglich tatsächlich [https://de.wikipedia.org/wiki/Responsible\_Disclosure](https://de.wikipedia.org/wiki/Responsible_Disclosure) ? Schließlich hat Google ja bereits einen Patch… Und GrapheneOS ist safe… Aber: > [@ynMBLn4y](#): > > Aber außer dem Source Code sogar ein vorkompiliertes APK auf GitHub ist schon „offensiv in die Öffentlichkeit gehen“. Er hätte aber auch nur in bestimmte „Kreise“ statt an die allgemeine Öffentlichkeit gehen können. Oder wenigstens „nur“ den Source-Code (ja, das ist jetzt auch nicht unbedingt sooo die Hürde, wie man bei @bamf gesehen hat…). Aber das APK selbst? Das ist nun mehr als billig. ---
**Author:** ![phone-company](https://www.kuketz-forum.de/user_avatar/www.kuketz-forum.de/phone-company/32/4436_2.png) [@phone-company](https://www.kuketz-forum.de/u/phone-company)\ **Post date:** [1. November 2026 um 16:41 UTC](https://www.kuketz-forum.de/t/neue-android-sicherheitsluecke-sms-des-todes-oktober-2026-updates-einspielen/17825/32 "2026-11-01T16:41:08Z")
Komisch laut deinem letzten Post hast du android studio installiert 🙂 ist aber auch egal… Wir sind hier gerade am testen. Musste erst mal einige neue sims generieren . wenn jemand die genaue cve hat baue ich nachher noch eine testapp Der untere Teil ist abgeschnitten da er eine meiner Telefonnummern enthielt Das ist die App ![634](https://www.kuketz-forum.de/uploads/default/original/2X/f/f7c0b2cd813213fa705588811d5bcd9580b346e9.jpeg) ---
**Author:** ![Krone](https://www.kuketz-forum.de/letter_avatar/krone/32/6_22734026db12803ebb3e059622ac3534.png) [@Krone](https://www.kuketz-forum.de/u/Krone)\ **Post date:** [1. November 2026 um 16:58 UTC](https://www.kuketz-forum.de/t/neue-android-sicherheitsluecke-sms-des-todes-oktober-2026-updates-einspielen/17825/33 "2026-11-01T16:58:31Z")
> [@ynMBLn4y](#): > > Er hätte aber auch nur in bestimmte „Kreise“ statt an die allgemeine Öffentlichkeit gehen können. Oder wenigstens „nur“ den Source-Code (ja, das ist jetzt auch nicht unbedingt sooo die Hürde, wie man bei @bamf gesehen hat…). Aber das APK selbst? Das ist nun mehr als billig. IMO stellst du die falschen Fragen und ziehst die falschen Schlüsse. Nicht der Entwickler ist das Problem, der hat sich entsprechend der Branchen übiichen Richtlinien verhalten. Wir haben hier einen Bug der jedes einzelne im Handel erhältliche Android Handy nahezu nutzlos machen kann - zumindest für Otto normal Nutzer. Wieso schafft es ein non-commercial Projekt wie graphene das im Juli zu patchen, während der Rest der Branche das im November teilweise noch aussitzt? Das wird hier ja nicht der große Einzelfalls bleiben, dank KI wird das eher schlimmer werden. Entweder die Patchzyklen sind generell zu lange, oder irgendwer hat bei der priorisierung und Kommunikation ganz gewaltig geschlafen. So oder so, die Branche sollte sich ganz schnell Gedanken machen wie man solche high-prio Patches schneller unter die Leute bringt , sonst ist das nur eine Frage der Zeit bis das richtig schiefgeht. ---
**Author:** ![phone-company](https://www.kuketz-forum.de/user_avatar/www.kuketz-forum.de/phone-company/32/4436_2.png) [@phone-company](https://www.kuketz-forum.de/u/phone-company)\ **Post date:** [1. November 2026 um 17:13 UTC](https://www.kuketz-forum.de/t/neue-android-sicherheitsluecke-sms-des-todes-oktober-2026-updates-einspielen/17825/34 "2026-11-01T17:13:32Z")
Google selbst hat den Fehler ja registriert im Juni. Dann aber fatalerweise als unwichtig deklariert. Das war wohl eher ein versehen. So die app ist ohne adb voll funktionsfähig man muss nur unter Apps alle rechte freigeben da sms zunächst mal blockiert ist. Fairphone 6 mit e/os ist gerade exploited worden. Jetzt versuche ich wie man das ohne reset beheben kann. Als weiteres Testobjekt habe ich hier ein weiteres Pixel 10a mit oktoberpatch (origjnal google) Edit mein 10a grapheneOS reagiert überhaupt nicht auf die sms ---
**Author:** ![vax](https://www.kuketz-forum.de/user_avatar/www.kuketz-forum.de/vax/32/1023_2.png) [@vax](https://www.kuketz-forum.de/u/vax)\ **Post date:** [1. November 2026 um 17:37 UTC](https://www.kuketz-forum.de/t/neue-android-sicherheitsluecke-sms-des-todes-oktober-2026-updates-einspielen/17825/35 "2026-11-01T17:37:00Z")
> [@DigitalFee](#): > > Was kann man denn jetzt konkret tun, um zu vermeiden, dass man ein Opfer wird Ich könnte mir vorstellen, wenn man die SIM rausnimmt, kann auch keine SMS mehr empfangen werden. ---
**Author:** ![phone-company](https://www.kuketz-forum.de/user_avatar/www.kuketz-forum.de/phone-company/32/4436_2.png) [@phone-company](https://www.kuketz-forum.de/u/phone-company)\ **Post date:** [1. November 2026 um 17:48 UTC](https://www.kuketz-forum.de/t/neue-android-sicherheitsluecke-sms-des-todes-oktober-2026-updates-einspielen/17825/36 "2026-11-01T17:48:40Z")
Simkarte entfernen ist Holzhammer aber ja dann kommt nichts mehr an. Dumbphone nutzen ohne diese wap push funktion Neusten patch installieren Flugmodus einschalten, anschließend wlan wieder an. Dann ist man zumindest bei dieser Geschichte safe Ich verwende privat eine silent.link esim. Das ding ist eine anonyme simkarte ohne rufnummer. Diese sorgt aber dafür das ich jederzeit über signal erreichbar bin und auch darüber angerufen werden kann bzw selbst telefonieren kann Aber an die die jetzt panisch sind, welche Geräte benuzt ihr denn das ihr so panisch seid. ---
**Author:** ![Dabbler](https://www.kuketz-forum.de/user_avatar/www.kuketz-forum.de/dabbler/32/334_2.png) [@Dabbler](https://www.kuketz-forum.de/u/Dabbler)\ **Post date:** [1. November 2026 um 19:21 UTC](https://www.kuketz-forum.de/t/neue-android-sicherheitsluecke-sms-des-todes-oktober-2026-updates-einspielen/17825/37 "2026-11-01T19:21:57Z")
Pixel 9a mit GOS ![1000064064](https://www.kuketz-forum.de/uploads/default/original/2X/7/732b9439b0596166b47bb0ee4d697d2d60e0b430.jpeg) ---
**Author:** ![phone-company](https://www.kuketz-forum.de/user_avatar/www.kuketz-forum.de/phone-company/32/4436_2.png) [@phone-company](https://www.kuketz-forum.de/u/phone-company)\ **Post date:** [1. November 2026 um 19:30 UTC](https://www.kuketz-forum.de/t/neue-android-sicherheitsluecke-sms-des-todes-oktober-2026-updates-einspielen/17825/38 "2026-11-01T19:30:21Z")
Gesichert save wenn up to date 🤷 ---
**Author:** ![ynMBLn4y](https://www.kuketz-forum.de/letter_avatar/ynmbln4y/32/6_22734026db12803ebb3e059622ac3534.png) [@ynMBLn4y](https://www.kuketz-forum.de/u/ynMBLn4y)\ **Post date:** [1. November 2026 um 20:58 UTC](https://www.kuketz-forum.de/t/neue-android-sicherheitsluecke-sms-des-todes-oktober-2026-updates-einspielen/17825/39 "2026-11-01T20:58:47Z")
> [@Krone](#): > > IMO stellst du die falschen Fragen und ziehst die falschen Schlüsse. Nicht der Entwickler ist das Problem, der hat sich entsprechend der Branchen übiichen Richtlinien verhalten. > > Wir haben hier einen Bug der jedes einzelne im Handel erhältliche Android Handy nahezu nutzlos machen kann - zumindest für Otto normal Nutzer. > > […] Zum Einen: Dass viele Hersteller spät oder gar nicht(!) patchen, ja! Sehr, sehr unschön! (Das ist die eine Sache. Und ja, da kann man schon — aber in „geeigneter“ Weise nachhelfen…) (…Und man _konnte_ ja reagieren, wie man (bei Google und GrapheneOS) sehen kann!) Zum Anderen: ein fertig _kompiliertes_ APK(!) (nicht nur der Source Code — das macht nach meiner Meinung schon einen (wesentlichen) Unterschied!) geht hier über Responsible Disclosure hinaus. Er hätte auch „nur“ die technischen Detail-Infos sowie den Source Code (als konkreten UND tatsächlichen PoC!) — aber eben nicht das fertige APK — zur Verfügung stellen können. Dann hätte man sich das APK immer noch selbst klöppeln müssen. Das setzt zumindest _gewissen_ technischen Verstand UND kriminelle Energie (oder eben ernsthaftes Interesse!) voraus. Ein fertiges APK macht es meinem Verständnis nach zu leicht (und der reine Source Code hätte für PoC ja durchaus ausgereicht… für die Experten). ---
**Author:** ![otto23](https://www.kuketz-forum.de/user_avatar/www.kuketz-forum.de/otto23/32/3618_2.png) [@otto23](https://www.kuketz-forum.de/u/otto23)\ **Post date:** [1. November 2026 um 21:05 UTC](https://www.kuketz-forum.de/t/neue-android-sicherheitsluecke-sms-des-todes-oktober-2026-updates-einspielen/17825/40 "2026-11-01T21:05:59Z")
Für Graphene ist CVE-2026-58882 (SMSofDeath) - laut GrapheneOS auf Mastodon - mit dem Juli Patch 2026072901 gefixed. [https://grapheneos.org/releases#2026072900](https://grapheneos.org/releases#2026072900) Bin aktuell mit dem stable (auch noch das pixel6) auf 2026102101 [https://grapheneos.social/@GrapheneOS/117525458808217125](https://grapheneos.social/@GrapheneOS/117525458808217125) [Vorherige Seite](https://www.kuketz-forum.de/t/neue-android-sicherheitsluecke-sms-des-todes-oktober-2026-updates-einspielen/17825.md?page=1) [Nächste Seite](https://www.kuketz-forum.de/t/neue-android-sicherheitsluecke-sms-des-todes-oktober-2026-updates-einspielen/17825.md?page=3)