Ett sms kan slå ut en Android-mobil – Android 12 och 13 får ingen uppdatering

En säkerhetsforskare har publicerat fungerande attackkod för en sårbarhet i Android som gör att vem som helst som känner till ditt telefonnummer kan slå ut mobilen med ett enda sms. Med smeknamnet ”Dödens sms” syns meddelandet aldrig i inkorgen och kräver inte att du trycker på något. Det slår ut den del av Android som hanterar samtal och mobilsignal och avbryter alla pågående samtal, även samtal till larmcentralen. Google har åtgärdat felet i aktuella Android-versioner, men äldre mobiler som inte längre får säkerhetsuppdateringar förblir sårbara.

För de flesta är frågan enkel: har mobilen fått den senaste säkerhetsuppdateringen? Felet finns i Androids grundläggande telefonikod, som alla tillverkare använder, så det är inte knutet till ett visst märke. Forskaren, som publicerar under namnet Mark B, säger att kraschen gick att återskapa varje gång på en Google Pixel och på flera Samsung Galaxy-mobiler, däribland billigare modeller i A-serien, som ännu inte hade fått åtgärden.

Angreppet utnyttjar WAP Push, ett gammalt meddelandeformat som operatörer använder för att skicka inställningar till mobiler i bakgrunden. Ett felaktigt utformat meddelande får Android att försöka reservera en negativ mängd minne, vilket får processen som hanterar samtal och signal att krascha. Varje meddelande berövar den drabbade en eller två sekunder av mobiltäckning. Det är upprepningen som orsakar den verkliga skadan. Operatörer skickar om meddelanden som mobilen aldrig har bekräftat, och i forskarens tester ledde ett enda meddelande till återkommande avbrott i upp till en vecka. Omkring 20 meddelanden gjorde mobilen obrukbar.

De skadliga meddelandena ligger också kvar i kön och behandlas på nytt varje gång mobilen startas. En Android 12-mobil som användes i testerna startade om till återställningsläget ungefär var 90:e sekund. En vanlig användare skulle bara kunna ta sig ur den loopen genom att återställa mobilen till fabriksinställningarna, vilket raderar innehållet. En av projektets medverkande, som använder namnet Sakis, hittade ett sätt att radera just de felaktiga meddelandena, men det kräver en dator, Androids utvecklarverktyg och snabb timing under det korta tidsfönstret efter varje omstart.

Forskaren utgår från Australiens nödnummer Triple Zero när hen beskriver sårbarheten och pekar på en märklig sidoeffekt där. Enligt australiska regler måste operatörerna identifiera mobiler som inte kan nå larmtjänster och till slut koppla bort dem. Telstra uppger att operatören spärrar sådana mobiler om inget förändras inom 28 dagar. Enligt forskarens tolkning skulle en angripare som kan få en mobil att misslyckas med nödsamtal på begäran kunna få offrets egen mobil spärrad från nätet.

Det finns dock gränser för hur allvarligt hotet är. Det handlar om en överbelastningsattack, inte ett intrång: meddelandet kan inte läsa dina data, installera något eller ta kontroll över mobilen. Angriparen behöver ditt telefonnummer och ett sätt att skicka datameddelanden med rådata. Det publicerade verktyget skickar dem från en annan Android-mobil med SIM-kort, vilket lämnar spår hos operatören. Hittills finns inga offentliga uppgifter om att sårbarheten har använts mot verkliga personer. Googles säkerhetsbulletin för oktober nämner inte heller åtgärden, som BleepingComputer påpekade, så ägare till äldre mobiler har inte fått någon officiell varning om att de är sårbara.

Så här kontrollerar du: öppna Inställningar, gå till Om telefonen eller Säkerhet och titta på datumet för Androids säkerhetsuppdatering. Alla uppdateringar från och med oktober 2026 innehåller åtgärden. Samsung, Motorola, Xiaomi och andra tillverkare släpper uppdateringar enligt sina egna tidsplaner, och operatörer kan hålla dem tillbaka. Därför kan även en mobil med en nyare Android-version fortfarande vänta på uppdateringen. För mobiler som är fast på Android 12 eller 13 är den enda fullständiga lösningen att byta till en enhet som fortfarande får uppdateringar.

Forskaren rapporterade sårbarheten till Googles belöningsprogram för Android-sårbarheter den 5 maj. En Google-ingenjör skrev åtgärden i mitten av juni, och den skickades ut i säkerhetsuppdateringen för Android 14 till 17 i oktober 2026. Den offentliga beskrivningen och ett proof of concept följde den 29 oktober. Google lade inte till den längdkontroll som forskaren hade föreslagit: företagets uppdatering fångar upp kraschen och raderar det felaktiga meddelandet så att det inte kan utlösa den igen.

Det försätter äldre Android-mobiler i ett märkligt läge. De kan fortfarande ringa som vanligt. De kan bara inte räkna med att samtalet går att avsluta.

Taggar: Google, cybersäkerhet, Android, Google Pixel, Samsung Galaxy, BleepingComputer