Én tekstmelding kan krasje Android-telefonen din – Android 12 og 13 får ingen feilretting

En sikkerhetsforsker har publisert fungerende angrepskode for en sårbarhet i Android som gjør at hvem som helst som kjenner telefonnummeret ditt, kan krasje telefonen med én enkelt tekstmelding. Meldingen har fått tilnavnet «SMS of Death», dukker aldri opp i innboksen og krever ikke at du trykker på noe. Den slår ut delen av Android som håndterer samtaler og mobildekning, og avslutter alle pågående samtaler – også samtaler til nødetatene. Google har rettet feilen i nyere Android-versjoner, men eldre telefoner som ikke lenger mottar sikkerhetsoppdateringer, vil fortsatt være sårbare.

For de fleste er spørsmålet enkelt: Har telefonen installert den nyeste sikkerhetsoppdateringen? Feilen ligger i Androids grunnleggende kode for telefoni, som alle produsentene bruker, og er derfor ikke knyttet til ett bestemt merke. Forskeren, som publiserer under navnet Mark B, sier at krasjen kunne gjenskapes hver gang på en Google Pixel og på flere Samsung Galaxy-telefoner, også billigere modeller i A-serien, som ennå ikke hadde fått feilrettingen.

Angrepet utnytter WAP Push, et eldre meldingsformat mobiloperatører bruker til å sende innstillinger til telefoner i bakgrunnen. En feilformatert melding får Android til å forsøke å reservere en negativ mengde minne, slik at prosessen som styrer samtaler og dekning, krasjer. Hver melding gir offeret ett eller to sekunder uten dekning. Det er gjentakelsene som gjør den egentlige skaden. Operatørene sender meldingene på nytt hvis telefonen ikke har bekreftet mottak, og i forskerens tester førte én enkelt melding til gjentatte avbrudd i opptil en uke. Rundt 20 meldinger gjorde telefonen ubrukelig.

De manipulerte meldingene blir også liggende i kø og behandles på nytt hver gang telefonen starter. Én Android 12-telefon i testen startet på nytt og gikk inn i gjenopprettingsmodus omtrent hvert 90. sekund. En vanlig bruker ville bare kommet seg ut av denne løkken ved å tilbakestille telefonen til fabrikkinnstillingene, noe som sletter alt på enheten. En bidragsyter til prosjektet som går under navnet Sakis, fant en måte å slette bare de aktuelle meldingene på, men det krever en datamaskin, Androids utviklerverktøy og rask timing i det korte tidsrommet etter hver omstart.

Forskeren tar utgangspunkt i Australias nødnummer Triple Zero og peker på en merkelig bieffekt der. Australske regler pålegger operatørene å finne telefoner som ikke kan nå nødetatene, og etter hvert koble dem fra. Telstra sier at selskapet sperrer slike telefoner hvis ingenting endrer seg innen 28 dager. Slik forskeren tolker det, kan en angriper som med vilje får en telefon til å mislykkes når noen ringer nødnummeret, føre til at offerets egen telefon blir sperret fra nettverket.

Det er likevel grunn til å nyansere alvoret. Dette er et tjenestenektangrep, ikke et innbrudd: Meldingen kan ikke lese dataene dine, installere noe eller ta kontroll over telefonen. Angriperen trenger telefonnummeret ditt og en måte å sende rå datameldinger på. Det publiserte verktøyet sender meldingene fra en annen Android-telefon med SIM-kort, noe som etterlater spor hos operatøren. Så langt finnes det ingen offentlige meldinger om at feilen er brukt mot virkelige personer. Googles sikkerhetsbulletin for oktober nevner heller ikke feilrettingen, slik BleepingComputer påpekte. Dermed har eiere av eldre telefoner ikke fått noen offisiell advarsel om at de er utsatt.

Du kan sjekke dette ved å åpne Innstillinger, gå til Om telefonen eller Sikkerhet og se på datoen for Android-sikkerhetsoppdateringen. Oppdateringer fra og med oktober 2026 inneholder feilrettingen. Samsung, Motorola, Xiaomi og andre produsenter sender ut oppdateringer etter egne tidsplaner, og operatørene kan forsinke dem. Derfor kan også en telefon med en nyere Android-versjon fortsatt vente på oppdateringen. For telefoner som er låst til Android 12 eller 13, er den eneste fullstendige beskyttelsen å bytte til en enhet som fortsatt får oppdateringer.

Forskeren meldte fra om sårbarheten til Googles belønningsprogram for Android-sårbarheter 5. mai. En Google-ingeniør skrev feilrettingen i midten av juni, og den ble sendt ut i sikkerhetsoppdateringen for oktober 2026 til Android 14 til og med 17. Den offentlige gjennomgangen og konseptbeviset ble publisert 29. oktober. Google la ikke til kontrollen av meldingslengden som forskeren hadde foreslått. I stedet fanger oppdateringen opp krasjen og sletter den aktuelle meldingen, slik at den ikke kan utløse feilen igjen.

Dermed befinner eldre Android-telefoner seg i en merkelig situasjon. De kan fortsatt ringe som normalt. De kan bare ikke regne med å få fullført samtalen.

Tagger: Google, cybersikkerhet, Android, Google Pixel, Samsung Galaxy, BleepingComputer