Een recent ontdekte kwetsbaarheid in Android maakt het mogelijk om via een speciaal sms-bericht telefoons te laten crashen en mobiele verbinding te verstoren.
Een beveiligingsonderzoeker heeft een proof-of-concept exploit vrijgegeven voor een recent gepatchte kwetsbaarheid in Android, bekend als 'SMS of Death' en geregistreerd als CVE-2026-58882. Deze kwetsbaarheid stelt aanvallers in staat om mobiele telefoons op afstand te laten crashen of de mobiele verbinding te verstoren door het versturen van een speciaal geconstrueerd sms-bericht.
De zero-click denial-of-service (DoS) kwetsbaarheid kan lopende gesprekken, inclusief noodoproepen, onderbreken zonder dat het slachtoffer enige interactie hoeft te verrichten. Android verwerkt het kwaadaardige bericht voordat het in de sms-inbox verschijnt, waardoor gebruikers geen zichtbare aanwijzing krijgen van de oorzaak van de crash. Volgens onderzoeker Mark Blah heeft Google de kwetsbaarheid gerepareerd in de oktober 2026 beveiligingsupdates voor Android-versies 14 tot en met 17. Oudere versies zoals Android 12 en 13 zijn echter nog kwetsbaar omdat zij deze patch niet hebben ontvangen.
De fout ontstaat door een onjuiste validatie van een header-lengte waarde in de functie WapPushOverSms.decodeWapPdu. Door een speciaal gevormd acht-byte WAP Push bericht te sturen naar poort 2948, kan een negatieve waarde worden geïnterpreteerd als een 32-bit integer, wat leidt tot een NegativeArraySizeException en het crashen van het proces com.android.phone. Dit proces beheert de mobiele functies, waardoor de crash de mobiele connectiviteit verstoort en gesprekken verbreekt, ook noodoproepen.
De onderzoeker meldt dat het versturen van meerdere kwaadaardige berichten kan leiden tot herhaalde crashes en reboot loops. Tijdens tests veroorzaakten twintig berichten dat een Android 12 toestel elke 90 seconden in recovery mode opstartte, wat alleen hersteld kon worden door een fabrieksreset. Een GitHub-bijdrager ontdekte een methode om de kwaadaardige berichten te verwijderen via Android Debug Bridge (ADB), maar dit vereist geavanceerde technische kennis en toegang tot een computer. De proof-of-concept exploit waarmee de berichten vanaf een ander Android-apparaat kunnen worden verzonden, is eveneens gepubliceerd.
De patch van Google, genaamd 'Fix remote DoS in decodeWapPdu', voorkomt crashes door uitzonderingen af te vangen die ontstaan bij het verwerken van de corrupte berichten. Daarnaast verwijdert de update kwaadaardige berichten uit de sms-database om herhaalde crashes te voorkomen. Hoewel beveiligingsupdates doorgaans automatisch worden geïnstalleerd op ondersteunde apparaten, hangt de beschikbaarheid af van de fabrikant en provider, en kan een herstart nodig zijn om de installatie te voltooien. Door de publicatie van een werkende exploit wordt Android-gebruikers sterk aangeraden de nieuwste beveiligingsupdates te installeren ter bescherming van hun apparaten.
