Het bericht verschijnt niet in de inbox, laat de telefoon niet overgaan en vraagt niet om geopend te worden, het hoeft alleen maar aan te komen (en het heeft niet eens frauduleuze doeleinden: het wordt niet gebruikt om gegevens te stelen, maar alleen om telefoons te saboteren). Wordt gebeld SMS van de dood en het is een Android-kwetsbaarheid, gecatalogiseerd als CVE-2026-58882. Een beveiligingsonderzoeker maakte het eind oktober openbaar, samen met een demo-app op GitHub.
Hoe het werkt
Het probleem betreft WAP Push-berichten, service-SMS die het systeem zelfstandig verwerkt. Een verkeerd opgemaakt pakket van slechts acht bytes crasht com.android.phone, het proces dat het mobiele netwerk beheert. Het signaal hapert een paar seconden en de actieve oproep valt weg, inclusief die naar de alarmnummers. Er is geen interactie van het slachtoffer nodig, omdat de aanvaller alleen het nummer hoeft te weten. Met ongeveer twintig berichten kan de telefoon, volgens de tests van de onderzoeker gerapporteerd door BleepingComputer, in een cyclus van voortdurende herstart terechtkomen. Op een toestel met Android 12 was een fabrieksreset nodig. De telefoon is dus niet ‘voor altijd vernietigd’: de echte schade is het verlies van wat niet elders is opgeslagen. Er is ook een procedure via ADB, vanaf een computer, om de aanstootgevende berichten te verwijderen, zelfs als dit niet binnen ieders bereik ligt.
Wie risico’s neemt
De Android-versie is belangrijker dan het model. Google classificeerde de fout als kritiek in zijn beveiligingsbulletin van november, met oplossingen voor Android 14, 15, 16 en 17. De codewijziging was volgens de onderzoeker al gearriveerd met de updates van oktober. De officiële referentie blijft echter een beveiligingspatch van 1 november 2026 of later, die kan worden gelezen in de telefooninstellingen (het pad verandert van merk tot merk). Android 12 en 13 blijven zeer kwetsbaar en zijn uitgesloten van de oplossing. In het geval dat je een smartphone hebt die heel goed werkt, maar geen updates meer ontvangt, zul je jezelf moeten neerleggen, want er is in ieder geval voorlopig geen officiële remedie.
