Advarsel: Én enkel SMS kan gjøre Android-telefonen din ubrukelig

Feilen har fått navnet SMS of Death og rammer alt fra Android 12 og oppover. Sikkerhetsforsker Mark Blaszczyk har registrert sårbarheten som CVE-2026-58882 og publiserte detaljene 29. oktober 2026, flere måneder etter at Google først fikk rapporten.

Angrepet er såkalt zero-click. Meldingen dukker aldri opp i innboksen, og telefonen viser ikke avsenderens nummer. For brukeren ser det bare ut som at samtalen falt ut, eller at mobilnettet forsvant i noen sekunder.

Slik slår angrepet ut telefonen

Sårbarheten ligger i Android-komponenten WapPushOverSms, som håndterer en gammel type SMS-trafikk kalt WAP Push. En spesielt utformet melding med et manipulert fembyte-hode får systemet til å prøve å allokere minne med negativ størrelse, noe som kaster en uhåndtert feil og krasjer prosessen `com.android.phone` som styrer telefoniens kjernefunksjoner.

Blaszczyk forklarer det slik: «Når Android mottar en WAP Push, leser den datalengden og tildeler nødvendig minne. Men på grunn av utilstrekkelig verifisering ved konvertering av datalengden til en numerisk verdi, forsøker den å allokere minne av feil størrelse», sier han til Gigazine.

Les også: Mercedes, VW og Volvo kalt tilbake: Disse to registrene viser om din bil står på listen

Konsekvensen avhenger av hvor mange meldinger som sendes. Én melding kutter aktive samtaler i et par sekunder. Rundt 20 meldinger kan ifølge forskeren gjøre telefonen praktisk talt ubrukelig over tid, og mobiloperatørens automatiske re-sending av uleverte SMS-er kan utløse gjentatte krasj i opptil en uke etter at angriperen har sluttet å sende.

Også nødsamtaler kan bli avbrutt mens krasjet pågår. Blaszczyk oppgir en reproduksjonsrate på 100 prosent i testene, og angrepet er bekreftet på både Google Pixel 9 og Samsung Galaxy-modeller.

Google fikset bare de nyeste versjonene

Blaszczyk meldte feilen inn til Google 5. mai 2026. En rettelse ble skrevet inn i Android-kildekoden 15. juni, og den rullet ut i oktoberpatchen for Android 14, 15, 16 og 17. Fiksen fanger feilen under WAP Push-parsing og sletter meldingen fra systemet så den ikke kan trigge krasjet på nytt ved operatørens re-sending.

Men Android 12 og 13 får ingen patch. De versjonene ligger utenfor Googles vindu for sikkerhetsoppdateringer, og det betyr i praksis at eldre telefoner som ikke har fått Android 14 eller nyere, forblir sårbare uten mulighet til å rette feilen selv.

Les også: Samsungs oktober-oppdatering fikser 76 sikkerhetshull: Men tre populære Galaxy-modeller får den aldri

Det rammer et betydelig antall brukere også i Norge. Mange Samsung-, OnePlus- og Pixel-eiere kjører fortsatt eldre versjoner enten fordi produsenten har stoppet oppdateringer, eller fordi de har valgt å utsette oppgraderingen.

Dette bør du sjekke nå

Åpne Innstillinger på telefonen, gå til «Om telefonen» og se etter oppføringen «Android-sikkerhetsoppdatering». Står den på 1. oktober 2026 eller nyere, og du kjører Android 14 eller nyere, er du beskyttet.

Er sikkerhetsnivået eldre, bør du åpne systemoppdateringer og se om en ny versjon ligger klar. Ligger ikke oktoberpatchen tilgjengelig for din modell, finnes det ingen offisiell løsning fra Google. Blaszczyk har også publisert en proof of concept, noe som gjør det realistisk at angrepsverktøy kan komme i omløp mens eldre Android-versjoner forblir eksponert.

Les også: Smartklokka lagrer alt om helsen din: Sjekk hvem som faktisk har tilgang til dataene

Les også: Reklame du aldri ba om fyller Windows 11: Slik slår du av alle annonsene på to minutter