Android 12 und 13: CERT-In warnt vor Schwachstellen ohne offiziellen Schutz
Veröffentlicht am: 02.11.2026 um 04:18 Uhr | Redaktion boerse-global.de
Die indische IT-Sicherheitsbehörde CERT-In hat vor schwerwiegenden Schwachstellen in den mobilen Betriebssystemversionen Android 11, 12, 12L und 13 gewarnt, die von Angreifern ausgenutzt werden könnten.
Wie aus einem Bericht vom 01.11.2026 hervorgeht, empfiehlt die Behörde in ihrer aktuellen Leitlinie für das Jahr 2026 ein enges Zeitfenster von lediglich zwölf Stunden zur Behebung oder Abschwächung ausgenutzter Sicherheitslücken, um den Gefahren durch automatisierte und KI-gestützte Cyberangriffe zu begegnen.
Dray Agha vom Sicherheitsunternehmen Huntress unterstützte diese Handhabung und betonte, dass KI-basierte Angriffsmethoden die Spanne bis zur praktischen Ausnutzung einer Schwachstelle auf wenige Stunden reduzierten. Bis zur Bereitstellung vollständiger Patches seien vorübergehende Schutzmaßnahmen wie Netzwerkkontrollen und die Isolation betroffener Systeme unabdingbar.
Denial-of-Service über manipulierte Kurznachrichten
Im Fokus der aktuellen Bedrohungslage steht unter anderem eine als kritisch eingestufte Schwachstelle mit der Kennung CVE-2026-58882. Der Sicherheitsforscher Mark Blaszczyk veröffentlichte am 29.10.2026 einen entsprechenden Machbarkeitsnachweis für einen manipulierten Nachrichtenangriff, nachdem die Schwachstelle Google bereits im Mai 2026 gemeldet worden war.
Der Angriff erfolgt über eine für den Nutzer unsichtbare WAP-Push-Nachricht an den Port 2948 und bringt den internen Systemdienst com.android.phone ohne jegliche Benutzerinteraktion zum Absturz.
Millionen Android-Nutzer sind täglich Hackern schutzlos ausgeliefert – ohne es zu wissen. Ein veraltetes Smartphone ist wie eine offene Haustür für Cyberkriminelle. Dieser kostenlose Report zeigt, wie Sie sich schützen. 5 einfache Schritte für mehr Smartphone-Sicherheit
Ursache des Fehlers ist ein Längenfeld in der Datenverarbeitung, das als vorzeichenbehaftete 32-Bit-Ganzzahl interpretiert wird, den negativen Grenzwert -2147483648 annimmt und infolgedessen einen schwerwiegenden Verarbeitungsfehler im System auslöst.
Von dieser Problematik sind die Betriebssystemversionen Android 12 bis 16 sowie der Code von Android 17 betroffen, wobei praktische Abstürze bis Android 16 nachgewiesen wurden.
Die Reproduktion gelang unter anderem auf Geräten der Baureihen Google Pixel 9 sowie Samsung Galaxy und Galaxy A. Bereits eine einzelne bösartige Nachricht genügt, um laufende Telefongespräche einschließlich Notrufen über die Nummern 112 oder 999 für etwa ein bis zwei Sekunden zu unterbrechen.
Wer sich mit der Sicherheit seines Mobilgeräts befasst, sollte regelmäßige Updates nicht dem Zufall überlassen. Erfahren Sie in diesem kostenlosen Ratgeber, wie automatische Updates Ihr Gerät rund um die Uhr schützen und Sicherheitslücken schließen. Kostenlosen Update-Ratgeber hier herunterladen
Da die Nachricht in der SMS-Warteschlange des Endgeräts verbleibt, wurden in Testumgebungen wiederkehrende Verbindungsausfälle über einen Zeitraum von bis zu einer Woche verzeichnet.
Werden rund 20 manipulierte Nachrichten an ein Zielgerät gesendet, kann dies das Smartphone dauerhaft blockieren oder eine Endlosschleife von Neustarts erzwingen; auf Geräten mit Android 12 führte dies im Abstand von etwa 90 Sekunden zu wiederholten Abstürzen in den Wiederherstellungsmodus. Eine Wiederherstellung war in solchen Fällen nur über das vollständige Zurücksetzen auf die Werkseinstellungen oder manuelle Eingriffe über die Entwicklerschnittstelle möglich.
Patch-Verteilung und verbleibende Risiken
Ein Google-Ingenieur hatte bereits am 15.06.2026 eine Fehlerbehebung entwickelt, die im August 2026 in die Sicherheitszweige für Android 14 bis 17 überführt wurde. Diese Korrektur ist in den Systemaktualisierungen für Oktober 2026 enthalten, wurde im offiziellen Bulletin dieses Monats jedoch nicht gesondert aufgeführt.
Ältere Betriebssysteme bleiben ungeschützt: Für Android 12 und 13 existiert derzeit kein offizieller Schutz, und es ist unklar, ob Google noch entsprechende Patches nachliefern wird.
Laut Auswertungen von StatCounter entfallen auf diese beiden Versionen zusammen rund 18 Prozent aller Android-Nutzer; in Kenia machten Android 12 und 13 im Oktober 2026 etwa ein Fünftel des gesamten mobilen Internetverkehrs aus.
Das gehärtete Betriebssystem GrapheneOS integriert die Fehlerbehebung bereits seit der Version 2026072901. Als frühester bestätigter allgemeiner Patch-Stand für reguläre Geräte gilt das Sicherheitsupdate für November 2026, wobei das tatsächliche Risiko vom jeweiligen Stand des Endgeräts und nicht allein von der Versionsnummer abhängt.
Bislang liegen keine Hinweise auf eine großflächige böswillige Ausnutzung der Schwachstelle vor. Zudem beschränken sich die Auswirkungen rein auf die Verfügbarkeit der Telefondienste, ein Abfluss vertraulicher Daten findet nicht statt.
Da keine Systemeinstellung den Empfang bösartiger WAP-Push-Nachrichten unterbinden kann, wird betroffenen Nutzern dringend empfohlen, verfügbare System- und Sicherheitsaktualisierungen umgehend einzuspielen.
