Ing. Calogero Bono
Eén gemanipuleerd WAP Push-bericht kan de telefonie van een Android-smartphone laten crashen, gesprekken onderbreken en in sommige gevallen voor voortdurende herstarts zorgen. De kwetsbaarheid heet CVE-2026-58882 en is op 29 oktober openbaar gemaakt door onderzoeker Mark Blaszczyk. Je hoeft niets te openen, en de fix van Google dekt niet alle versies. Voor wie zakelijke telefoons beheert is dit een concreet probleem.
Een paar termen, voordat we op de feiten ingaan. CVE is de code die een bekende kwetsbaarheid uniek identificeert. WAP Push is een type bericht dat het systeem automatisch verwerkt en dat mogelijk niet in je sms-lijst verschijnt. Denial of service is een aanval die geen gegevens steelt, maar het apparaat onbruikbaar maakt. Bootloop is de lus van voortdurende herstarts. ADB is het hulpmiddel vanaf een computer waarmee je met een Android-telefoon communiceert.
Wat is de SMS of Death en hoe werkt hij?
Volgens DDay betreft de kwetsbaarheid de verwerking van WAP Push-berichten, die rechtstreeks door het telefoniframework van Android worden verwerkt. Een misvormd bericht laat het proces com.android.phone crashen en de telefoon verliest even het mobiele netwerk.
Zoals Punto Informatico meldt, bevat de gewijzigde header een negatieve waarde (-2.147.483.648) die bij het toewijzen van geheugen een uitzondering veroorzaakt. Dat gebeurt voordat de sms tussen de berichten verschijnt, dus het slachtoffer ziet niets verdachts.
Hoveel schade kan één bericht aanrichten?
De enkele crash duurt enkele seconden, omdat Android het telefoonproces opnieuw start. Als er op dat moment een gesprek loopt, valt het weg, ook dat met de nooddiensten.
Het probleem herhaalt zich als de provider het bericht opnieuw probeert af te leveren of als de inhoud in de wachtrij blijft staan en opnieuw wordt verwerkt. HDblog meldt dat twintig berichten al genoeg zijn om een herstartlus te veroorzaken. Op een apparaat met Android 12 ging de telefoon ongeveer elke 90 seconden in de herstelmodus.
Om het weer te gebruiken was een fabrieksreset nodig. De onderzoeker beschreef ook een ADB-procedure om de problematische berichten te verwijderen, maar die vereist een computer en technische kennis.
Zijn er gegevens in gevaar?
Nee, volgens DDay. De kwetsbaarheid maakt het niet mogelijk wachtwoorden, foto's of andere persoonlijke gegevens te stelen. Het is een denial of service-aanval, gericht op de mobiele verbinding.
Eveneens volgens DDay zijn er tot nu toe geen grootschalige campagnes geïdentificeerd die haar gebruiken. De onderzoeker meldde haar op 5 mei aan Google en publiceerde de details op 29 oktober, nadat hij de aanval had gereproduceerd op een Google Pixel en een Samsung Galaxy.
Wie is beschermd en wie blijft kwetsbaar?
De fix is volgens de reconstructie van de onderzoeker in juni gemaakt en met de updates van oktober uitgerold voor Android 14 tot en met 17. Voor de Pixels die nog ondersteund worden is het patchniveau 5 oktober 2026.
Android 12 en 13 bevatten de kwetsbare code, maar de correctie is niet uitgerold omdat die systemen niet meer ondersteund worden. Wie daar zonder updates van de fabrikant zit, is kwetsbaar. Punto Informatico merkt op dat de update slechts een beperkt aantal apparaten heeft bereikt. Het beeld past bij de gegevens over de trage verspreiding van Android 17.
Beperkingen om te kennen
De CVE-code CVE-2026-58882 staat niet expliciet in het Android-beveiligingsbulletin van oktober, dat wel andere DoS-kwetsbaarheden in het framework vermeldt. De datum van de fix en de bescherming van gepatchte apparaten komen uit de reconstructie van de onderzoeker, niet uit een bevestiging van Google in de bronnen. We weten niet hoeveel telefoons echt kwetsbaar zijn en of er gerichte aanvallen zijn geweest.
Wat verandert er voor wie met digitale zaken werkt
Voor een bedrijf met telefoons die aan medewerkers zijn verstrekt, is het risico de onderbreking van gesprekken en bereikbaarheid, niet het lekken van gegevens. Het is zinvol te weten welke modellen en Android-versies in gebruik zijn. Apparaten met Android 12 of 13 moet je als kwetsbaar beschouwen zolang ze zonder patch blijven. Patchbeheer geldt niet alleen voor telefoons, dezelfde discipline is nodig voor websites, zoals we uitleggen bij het monitoren van CVE's.
Ons oordeel
Dit geval toont de structurele beperking van Android. De correctie bestaat al maanden, maar het voordeel van de ontwikkelaar gaat verloren als de fabrikant die niet uitrolt of het toestel buiten support valt. Opvallend is ook dat de identificatie niet in het bulletin van oktober staat, wat het werk van wie de status van zijn apparaten moet controleren bemoeilijkt. Het risico is beperkt, maar doordat de noodoproepen geraakt kunnen worden, is het serieus.
Veelgestelde vragen
Moet ik de sms openen om getroffen te worden?
Nee. De kwetsbaarheid wordt geactiveerd tijdens de verwerking van het bericht door het systeem. Je hoeft het niet te openen, geen links aan te raken en geen bijlagen te downloaden.
Steelt de SMS of Death mijn gegevens?
Nee. Volgens DDay maakt hij het niet mogelijk wachtwoorden, foto's of persoonlijke gegevens te stelen. Hij is erop gericht het functioneren van de telefoon te verstoren, vooral de mobiele verbinding.
Welke Android-versies zijn beschermd?
Android 14, 15, 16 en 17 met de patch van oktober, volgens de onderzoeker. Android 12 en 13 bevatten de kwetsbare code en hebben de correctie niet ontvangen.
Wat moet ik doen als mijn telefoon in een bootloop zit?
De fabrieksreset werkt, maar wist je gegevens. Als alternatief bestaat er een ADB-procedure om de problematische berichten te verwijderen, die een computer en technische kennis vereist.
Vallen ook noodoproepen weg?
Ja. De bronnen melden dat de crash lopende gesprekken onderbreekt, ook die met de nooddiensten. De crash duurt maar enkele seconden.
Waar je de komende weken op moet letten bij Android-patches
Het gaat erom welke updates daadwerkelijk op de telefoons terechtkomen. Het is verstandig een aantal signalen in de gaten te houden.
- Controleer of bijgewerkte telefoons het patchniveau van oktober of later tonen.
- Volg of Google CVE-2026-58882 opneemt in de beveiligingsbulletins.
- Vervang of isoleer apparaten met Android 12 en 13 die geen updates meer ontvangen.
