Sebastian Juul
En usynlig sms kan afbryde dine opkald og i værste fald låse telefonen i en genstartsløkke.
Sårbarheden er døbt “SMS of Death” og rammer Android 12 og nyere. Den uafhængige sikkerhedsforsker Mark Blaszczyk offentliggjorde fejlen 29. oktober 2026 på sitet smsofdeath.com, efter at Google først havde afvist, at der var tale om en sikkerhedsfejl.
Angrebet kræver ingen interaktion fra brugeren. Modtageren ser hverken en besked i indbakken eller afsenderens nummer, men telefonens taleservice (com.android.phone-processen) crasher, så igangværende opkald afbrydes. Det gælder også opkald til alarmcentralen.
Et enkelt tal nedlægger telefonens taleservice
Fejlen ligger i den del af Android, der håndterer WAP Push, en type data-sms der normalt bruges af teleselskaber til at konfigurere indstillinger i baggrunden. Når systemet læser en særligt udformet længdeværdi i beskedens hoved, bliver et tal fortolket som negativt. Androids telefonikomponent forsøger derefter at reservere en hukommelsesblok af negativ størrelse, hvilket udløser en fejl og lukker processen, forklarer forskeren.
Sårbarheden har fået betegnelsen CVE-2026-58882 og er bekræftet med 100 procents reproducerbarhed på både Pixel- og Samsung Galaxy-telefoner, herunder A-serien.
Omkring 20 beskeder kan låse telefonen fast
En enkelt besked giver typisk et afbrud på et par sekunder. Sendes der cirka 20 beskeder i hurtig rækkefølge, kan telefonen ende i en genstartsløkke. Den onde besked bliver nemlig liggende i køen og udløser samme crash hver gang telefonen booter, ifølge Cyberinsider. Først når beskeden er slettet manuelt via udviklerværktøjet ADB, eller SIM-kortet er flyttet til en anden telefon der kan kvittere for køen, kommer enheden fri.
Google afviste i første omgang rapporten, da den indløb 5. maj 2026, men udviklerne rettede alligevel fejlen internt 15. juni, skriver eSecurity Planet. Rettelsen landede i oktober-sikkerhedsopdateringen og dækker Android 14 til 17. Fremfor at afvise den fejlbehæftede længdeværdi har Google valgt at indkapsle fejlen og slette den skadelige besked automatisk, så genstartsløkken brydes.
Så tjekker du om din telefon er sikker
Danskere, der ejer en Android-telefon, kan selv kontrollere status. Gå i Indstillinger, derefter Sikkerhed og privatliv, og find datoen for seneste Android-sikkerhedsopdatering. Står der oktober 2026 eller senere, er telefonen beskyttet, ifølge ShiftDelete. Pixel-telefoner har allerede opdateringen, mens Samsung, Xiaomi og øvrige producenter ruller rettelsen ud i deres eget tempo.
Problemet er, at Android 13 og ældre versioner ikke får oktober-opdateringen og dermed forbliver sårbare, medmindre producenten vælger at bagudportere rettelsen. Telefoner, der ikke længere er omfattet af producentens sikkerhedsgaranti, får ingen fix. Trend.dk har tidligere beskrevet, hvordan du tjekker hvor længe din næste telefon får opdateringer, inden du køber ny.
Operativsystemet GrapheneOS, der bygger på Android, planlægger at inkludere rettelsen i sin november-opdatering.
