Android-fejl: Én sms kan få din telefon til at genstarte

En Android-fejl, som forskeren bag kalder "SMS of Death", gør det muligt at sende en særlig sms, der får telefonens opkaldsfunktion til at gå ned. Opkald bliver afbrudt, også nødopkald, og telefonen mister kortvarigt forbindelsen til mobilnettet. Sendes der mange af beskederne, kan telefonen ifølge forskeren ende i en løkke, hvor den genstarter igen og igen. Fejlen blev offentliggjort den 29. oktober, og en fungerende angrebskode ligger nu frit tilgængelig på GitHub.

Google har lukket hullet i sikkerhedsopdateringen fra oktober 2026, men kun for Android 14 til 17. Har din telefon Android 12 eller 13, får den ifølge forskeren ikke rettelsen fra Google. Det vigtigste, du kan gøre, er derfor at tjekke din telefons niveau for sikkerhedsopdateringer. Det tager et halvt minut, og vi viser, hvordan du gør, længere nede.

Hvad gør den farlige sms?

Ifølge forskerens egen gennemgang på smsofdeath.com er der tale om en såkaldt WAP Push-besked, en ældre type data-sms, som telefoner bruger til blandt andet konfiguration fra teleselskabet. Beskeden er lavet, så den får Androids telefoniproces, com.android.phone, til at gå ned. Det er den proces, der styrer opkald og forbindelsen til mobilnettet.

Tre ting gør fejlen ubehagelig:

• Du ser ingenting. Beskeden sendes som data-sms, så den dukker ikke op i din indbakke, og afsenderens nummer vises ikke. Ifølge BleepingComputer behandles beskeden, før den når sms-indbakken, så offeret får intet tegn på, hvad der skete.
• Du skal ikke gøre noget. Angriberen behøver kun dit telefonnummer. Du skal ikke åbne en besked eller trykke på et link.
• Opkald afbrydes. Ifølge forskeren går et igangværende taleopkald ned, når beskeden rammer, og hver besked giver et til to sekunder uden dækning. Det gælder også et opkald til 112.

Forskeren skriver, at fejlen er genskabt på en Pixel 9 og på flere telefoner i Samsungs Galaxy- og A-serie. Ifølge BleepingComputer er der tale om en besked på blot otte byte, der sendes til port 2948.

Kan telefonen gå helt i stå?

Ifølge forskerens egne test, ja. Teleselskabet forsøger at levere en besked igen, hvis telefonen ikke bekræfter at have modtaget den, og den ondsindede besked bliver liggende i køen og behandles igen, når telefonen starter op. Forskeren skriver, at én besked i testene gav periodiske udfald i op til en uge, og at omkring 20 beskeder kan gøre en telefon ubrugelig i længere tid.

BleepingComputer gengiver forskerens oplysning om, at 20 beskeder fik telefoner i genstart-løkke, og at en telefon med Android 12 genstartede i gendannelsestilstand cirka hvert 90. sekund og til sidst skulle nulstilles helt. Det er forskerens egne forsøg, og der er ikke uafhængige målinger af, hvor udbredt problemet kan blive.

Der er ingen oplysninger om, at fejlen bliver brugt i angreb. Hverken forskeren eller BleepingComputer beretter om udnyttelse uden for testmiljøet. Men når angrebskoden er offentlig, og det eneste, der kræves, er et telefonnummer, er det en god grund til ikke at vente med opdateringen.

Hvis din telefon allerede genstarter igen og igen: Forskerens side beskriver en metode, hvor man via en computer og værktøjet ADB sletter de ventende beskeder lige efter opstart. Den kræver teknisk snilde. Siden fraråder samtidig at vælge "wipe data" i gendannelsesmenuen, fordi det sletter alt på telefonen. Er du ikke fortrolig med ADB, så kontakt din telefons producent eller et værksted, før du nulstiller.

Sådan tjekker du, om din Android-telefon er beskyttet

Rettelsen ligger i Googles sikkerhedsopdatering for oktober 2026. Forskeren skriver, at telefoner "updated to the October 2026 patch level or later are protected", så længe de kører Android 14 eller nyere. Sådan finder du dit niveau:

1. Åbn Indstillinger.
2. Gå til Om telefonen. På mange telefoner ligger oplysningen under Android-version eller Softwareoplysninger.
3. Find Android-sikkerhedsopdatering eller niveau for sikkerhedsopdatering. Der står en dato.

Står der 1. oktober 2026 eller senere, og kører telefonen Android 14 eller nyere, har den rettelsen. Står der en ældre dato, så se efter en opdatering under Indstillinger > Software- eller systemopdatering. Navnene på menupunkterne varierer fra producent til producent, og Google har en vejledning i at tjekke og opdatere Android-versionen.

Det er producenten og i nogle tilfælde teleselskabet, der bestemmer, hvornår din telefon får opdateringen. Google-telefoner får den først, mens andre mærker kan være uger eller måneder bagefter. Vi har tidligere skrevet om, hvorfor det kan betale sig at holde øje, da Google lukkede et udnyttet hul i Pixel-modemmet.

Har du Android 12 eller 13?

Så er nyheden dårligere. Ifølge forskeren ligger de to versioner "outside the security-update window", og Googles rettelse dækker dem ikke. BleepingComputer skriver det samme: Android 12 og 13 forbliver sårbare, fordi de ikke fik rettelsen.

Der er ingen indstilling, du selv kan slå fra for at blokere den slags beskeder. Forskerens side nævner ingen anden løsning end opdateringen. Har du en telefon med Android 12 eller 13, er der derfor to veje:

• Spørg producenten eller teleselskabet, om de selv har lukket hullet, eller om telefonen kan opgraderes til en nyere Android-version.
• Overvej, om telefonen skal skiftes, hvis den ikke længere får opdateringer. Det gælder især, hvis det er en telefon, du er afhængig af til nødopkald, eller som et ældre familiemedlem bruger.

Ældre og billige telefoner er i det hele taget dem, der oftest står uden opdateringer. Vi har tidligere skrevet om billige Android-mobiler, der sælges med malware fra fabrikken, og om, hvordan du tjekker din.

Hvad med CVE-nummeret?

BleepingComputer knytter et CVE-nummer til fejlen, men mediet bemærker selv, at Googles sikkerhedsbulletin for oktober ikke nævner det. Forskerens egen side nævner intet CVE-nummer. I Googles bulletin for oktober 2026 står der blandt andet en kritisk fejl i System-komponenten af typen "denial of service", altså en fejl, der kan lægge noget ned, men Google har ikke bekræftet, at det er den samme fejl. Vi nævner derfor ikke et nummer.

Selve rettelsen kan forskeren derimod pege på: en ændring i Androids kildekode med titlen "Fix remote DoS in decodeWapPdu", skrevet den 15. juni. Ifølge forskeren fanger den fejlen og sletter den ondsindede besked fra køen. Fejlen blev indberettet til Googles program for sårbarhedsrapporter den 5. maj 2026.

Konklusion

"SMS of Death" er ikke et hul, der stjæler data eller giver adgang til din telefon. Men den kan afbryde dine opkald, også til 112, uden at du ser noget, og i værste fald gøre telefonen ubrugelig, indtil nogen med en computer rydder op. Med offentlig angrebskode er det nu et spørgsmål om, hvem der gider bruge den.

Gør derfor to ting i dag: Tjek, at din telefon har sikkerhedsopdateringen fra 1. oktober 2026 eller nyere, og gør det samme på telefonerne hos dem i familien, der ikke selv holder øje. Har nogen Android 12 eller 13, så spørg producenten. Og er du i forvejen i gang med indstillingerne, så se også på Androids nye svindelbeskyttelse i Beskeder.