Én sms kan få en Android-telefon til at gå ned – Android 12 og 13 får ingen rettelse

En forsker har offentliggjort fungerende angrebskode til en sårbarhed i Android, som gør det muligt for enhver, der kender dit telefonnummer, at få din telefon til at gå ned med en enkelt sms. Beskeden har fået tilnavnet »Dødens sms« og dukker aldrig op i indbakken. Du behøver heller ikke trykke på noget. Den lukker den del af Android, der håndterer opkald og mobilsignal, og afslutter dermed alle igangværende opkald – også opkald til alarmcentralen. Google har rettet fejlen i de aktuelle Android-versioner, men ældre telefoner, der ikke længere modtager sikkerhedsopdateringer, vil fortsat være sårbare.

For de fleste er spørgsmålet enkelt: Har din telefon installeret den seneste sikkerhedsopdatering? Fejlen findes i Androids centrale telefonikode, som alle producenter leverer med deres telefoner, så den er ikke knyttet til et bestemt mærke. Forskeren, der offentliggør sine undersøgelser under navnet Mark B, fortæller, at nedbruddet kunne fremkaldes hver gang på en Google Pixel og flere Samsung Galaxy-telefoner, herunder de billigere modeller i A-serien, som endnu ikke havde fået rettelsen.

Angrebet udnytter WAP Push, et gammelt beskedformat, som teleselskaber bruger til at sende indstillinger til telefoner i baggrunden. En fejlformet besked får Android til at forsøge at reservere en negativ mængde hukommelse, hvorefter processen, der styrer opkald og signal, går ned. Hver besked efterlader offeret uden forbindelse i et sekund eller to. Det er gentagelserne, der for alvor gør skade. Teleselskaberne bliver ved med at sende beskeder, som telefonen aldrig har kvitteret for, og i forskerens tests førte en enkelt besked til afbrudt forbindelse med mellemrum i op til en uge. Omkring 20 beskeder gjorde en telefon ubrugelig.

De manipulerede beskeder bliver også liggende i kø og behandles igen, hver gang telefonen starter. Under testen genstartede en Android 12-telefon til gendannelsestilstand cirka hvert 90. sekund. En almindelig bruger ville kun kunne slippe ud af den løkke ved at nulstille telefonen til fabriksindstillingerne, hvilket sletter indholdet på enheden. En bidragyder til projektet, der bruger navnet Sakis, fandt en måde at slette netop de skadelige beskeder på, men det kræver en computer, Androids udviklerværktøjer og præcis timing i det korte tidsrum efter hver genstart.

Forskeren tager udgangspunkt i Australiens alarmnummer Triple Zero og peger på en usædvanlig følgevirkning dér. Australske regler kræver, at teleselskaber finder telefoner, der ikke kan få forbindelse til alarmcentralen, og til sidst afbryder deres forbindelse. Telstra oplyser, at selskabet blokerer sådanne telefoner, hvis der ikke sker nogen ændring inden for 28 dage. Ifølge forskerens vurdering kan en angriber, der på kommando kan forhindre en telefon i at foretage nødopkald, få offerets egen telefon spærret fra netværket.

Der er dog grænser for, hvor alarmerende det er. Der er tale om et tjenestenægtelsesangreb, ikke et indbrud: Beskeden kan hverken læse dine data, installere noget eller tage kontrol over telefonen. Angriberen skal kende dit nummer og have mulighed for at sende rå datameddelelser. Det offentliggjorte værktøj sender dem fra en anden Android-telefon med et SIM-kort, hvilket efterlader et spor hos teleselskabet. Indtil videre er der ingen offentlige meldinger om, at fejlen er blevet brugt mod rigtige mennesker. Googles sikkerhedsbulletin for oktober nævner heller ikke rettelsen, som BleepingComputer bemærkede, så ejere af ældre telefoner har ikke fået nogen officiel advarsel om, at de er udsatte.

Du kan undersøge det ved at åbne Indstillinger og gå til Om telefonen eller Sikkerhed for at se datoen for Android-sikkerhedsopdateringen. Alle opdateringer fra oktober 2026 og frem indeholder rettelsen. Samsung, Motorola, Xiaomi og andre producenter udsender opdateringer efter deres egne tidsplaner, og teleselskaberne kan forsinke dem. Derfor kan en telefon med en nyere Android-version stadig mangle opdateringen. Hvis din telefon sidder fast på Android 12 eller 13, er den eneste fuldstændige beskyttelse at skifte til en enhed, der stadig modtager opdateringer.

Forskeren indberettede sårbarheden til Googles belønningsprogram for Android-sårbarheder den 5. maj. En Google-ingeniør skrev rettelsen i midten af juni, og den blev sendt ud med sikkerhedsopdateringen fra oktober 2026 til Android 14 til og med 17. Den offentlige gennemgang og proof of concept fulgte den 29. oktober. Google tilføjede ikke den længdekontrol, forskeren havde foreslået: Googles rettelse fanger nedbruddet og sletter den skadelige besked, så den ikke kan udløse det igen.

Det efterlader ældre Android-telefoner i en sær situation. De kan stadig foretage opkald som normalt. De kan bare ikke regne med at få dem afsluttet.

Tags: Google, cybersikkerhed, Android, Google Pixel, Samsung Galaxy, BleepingComputer