Har du Android? Osynligt sms kan krascha din mobil

Sårbarheten spåras som CVE-2026-58882 och har fått smeknamnet ”SMS of Death”. En säkerhetsforskare har nu offentliggjort fungerande testkod, vilket gör att tekniken bakom attacken inte längre bara är teoretisk.

Enligt BleepingComputer kan ett specialkonstruerat data-sms få processen som hanterar Androids telefonifunktioner att krascha. Ett pågående telefonsamtal kan då brytas och mobilen tillfälligt tappa mobilanslutningen.

Ingen interaktion från användaren krävs

Meddelandet behöver aldrig synas

Attacken skiljer sig från många vanliga sms-bedrägerier.

Du behöver inte trycka på en länk, svara på meddelandet eller installera något. Det manipulerade meddelandet behandlas av Androids telefonsystem innan det når den vanliga sms-inkorgen.

Det innebär att telefonen kan krascha utan att användaren först ser ett nytt meddelande.

Felet finns i Android-komponenten WapPushOverSms, som bland annat hanterar en särskild typ av data som kan skickas via mobilnätet. Problemet uppstår när Android försöker behandla felaktigt formaterad information och telefoniprocessen kraschar i stället för att avvisa den.

Googles kodändring för problemet heter ”Fix remote DoS in decodeWapPdu”. Rättningen gör att Android kan hantera felet utan att telefoniprocessen stoppas och tar även bort problematiska meddelanden så att de inte fortsätter trigga krascher.

Läs mer: Google varnar: Ett samtal kan räcka för att bli hackad

Samtal kan brytas direkt

Eftersom processen som kraschar ansvarar för mobiltelefoni blir konsekvensen större än att bara meddelandeappen stängs.

När processen startas om kan mobilanslutningen tillfälligt försvinna. Ett pågående samtal kan därför brytas.

BleepingComputer uppger även att nödsamtal kan påverkas om attacken sker medan ett sådant samtal pågår.

Det finns däremot inga uppgifter om att sårbarheten ger angriparen kontroll över telefonen, tillgång till dina bilder eller möjlighet att läsa dina meddelanden. Det handlar om en så kallad denial of service, där målet är att få en funktion eller enhet att sluta fungera.

Upprepade sms kan skapa betydligt större problem

Ett enskilt meddelande kan orsaka en kortare störning. Flera manipulerade meddelanden kan enligt forskarens tester få betydligt större konsekvenser.

Problemet är att ett misslyckat meddelande i vissa situationer kan försöka behandlas igen. Operatören kan också försöka leverera ett meddelande på nytt.

Forskaren uppger att upprepade attacker under tester fått telefoner att hamna i omstartsloopar. På en testad Android 12-enhet blev problemen så omfattande att telefonen till slut behövde återställas till fabriksinställningarna.

Det är testresultat från forskaren och betyder inte att alla sårbara Androidtelefoner reagerar på exakt samma sätt.

Läs mer: 1400 säkerhetshål upptäckta – Microsoft vill att du uppdaterar nu

Android 12 och 13 är den stora frågan

Enligt forskaren finns Googles rättning med för Android 14 till Android 17 i kod kopplad till säkerhetsuppdateringarna från oktober.

Android 12 och Android 13 uppges däremot fortfarande innehålla den sårbara koden och ligger utanför de Androidversioner som omfattas av Googles nuvarande oktoberbulletin.

Det betyder inte automatiskt att varje telefon med Android 12 eller 13 är sårbar. Tillverkare kan göra egna förändringar och säkerhetsfixar, och mobiloperatörer kan också påverka hur vissa typer av meddelanden hanteras.

Den offentliga informationen ger därför inte stöd för att peka ut varje äldre Samsung, Xiaomi, Motorola eller annan Androidmodell som sårbar.

Googles säkerhetsbulletin för oktober omfattar Android 14, 15, 16 och 17.

Googles egen bulletin nämner inte säkerhetshålet

Här finns en ovanlig detalj.

CVE-2026-58882 finns inte uttryckligen med i Googles publika säkerhetsbulletin för oktober, trots att den korrigerande kodändringen finns i Androids källkod och enligt forskaren distribuerats inom oktoberuppdateringen.

Det gör det svårare att kontrollera exakt vilka telefoner som redan har fått rättningen.

Google bekräftar att alla stödda Pixel-enheter får säkerhetsnivån 2026-10-05, men Pixel-bulletinen listar inte heller CVE-2026-58882 som en separat post. Därför går det inte utifrån bulletinen ensam att slå fast att varje Pixel med oktoberuppdateringen har just den här fixen.

Samsung har också släppt sin säkerhetsuppdatering för oktober för flera Galaxy-modeller. CVE-2026-58882 finns dock inte bland de CVE-nummer som Samsung offentligt listar i sin oktoberbulletin.

Det säkraste rådet är därför inte att utgå från Androidversionen ensam, utan att installera den senaste säkerhetsuppdatering som faktiskt finns tillgänglig för telefonen.

Läs mer: Säkerhetsmiss avslöjade över 335 000 övervakningskameror

Kontrollera när mobilen senast uppdaterades

På de flesta Androidmobiler hittar du säkerhetsnivån under Inställningar och informationen om telefonens Androidversion eller programvara.

Menyerna skiljer sig mellan olika tillverkare.

Har du en telefon som fortfarande får säkerhetsuppdateringar bör du installera den senaste versionen och starta om mobilen om installationen kräver det.

För användare som sitter kvar på Android 12 eller 13 blir situationen mer komplicerad. Om tillverkaren inte längre skickar säkerhetsuppdateringar finns det inte nödvändigtvis någon uppdatering att installera.

Det är också ett exempel på varför säkerhetsstödet spelar större roll än själva telefonens ålder. En mobil kan fungera perfekt i vardagen men ändå bli kvar med sårbarheter när tillverkaren slutar skicka rättningar.

Testkoden gör problemet mer akut

Det finns inga offentliga uppgifter som visar att CVE-2026-58882 redan används i omfattande attacker.

Situationen har ändå förändrats.

Forskaren har publicerat fungerande testkod som demonstrerar hur sårbarheten kan utnyttjas. Därmed behöver en potentiell angripare inte längre själv upptäcka felet från grunden.

För vanliga Androidanvändare är rådet därför enkelt.

Installera den senaste säkerhetsuppdateringen som finns tillgänglig för din telefon.

För det ovanliga med den här attacken är just att du inte behöver göra något fel själv. Du behöver inte klicka på en blufflänk eller installera en skadlig app.

Telefonen kan börja strula innan du ens vet att ett meddelande har kommit.