Sebastian Juul
Ett felformaterat SMS kan tvinga din Android in i en omstartsloop och blockera nödsamtal till 112.
Säkerhetsforskaren Mark Blaszczyk gick den 29 oktober ut med en kritisk sårbarhet, CVE-2026-58882, som drabbar Android 12 till och med 17. Attacken kräver ingen handling från mottagaren, meddelandet syns aldrig i inkorgen och avsändarens nummer visas inte.
Google har stängt hålet i oktobermånadens säkerhetsuppdatering för Android 14, 15, 16 och 17. Android 12 och 13 får sannolikt aldrig en patch. I Sverige körde runt 11 procent av alla Android-användare fortfarande en av dessa två versioner i oktober 2026, enligt Statcounters statistik.
Så fungerar attacken
Buggen ligger i Android-komponenten WapPushOverSms, som hanterar WAP Push, en äldre teknik där mobiloperatörer kan skicka dolda instruktioner till telefoner utan att användaren gör något. Ett specialformaterat huvud i meddelandet gör att Android räknar fel på minnesallokeringen och genererar ett undantag som kraschar telefonens samtalstjänst com.android.phone.
Resultatet är att pågående samtal, inklusive nödsamtal, bryts medan tjänsten startar om, vilket enligt eSecurityPlanet tar en till två sekunder. Men eftersom det skadliga meddelandet ligger kvar i kön och behandlas igen vid omstart, kan telefonen fastna i en loop där den startar om var 90:e sekund. Omkring 20 sådana meddelanden räcker för att göra en telefon praktiskt taget oanvändbar, skriver tyska Heise. I tester där operatören försökte leverera meddelandet på nytt låg enheter nere i upp till en vecka.
Reproduktionsgraden i tester på Google Pixel- och Samsung Galaxy-telefoner låg på 100 procent, enligt eSecurityPlanet.
Kontrollera din Android-version nu
Öppna Inställningar > Om telefonen (eller Om enheten) och leta efter raden Android-version. Står det 14, 15, 16 eller 17 ska du kontrollera att oktoberpatchen är installerad. Du hittar det under samma meny, oftast under Säkerhetsuppdatering eller Android-säkerhetspatch, datumet ska vara 1 oktober 2026 eller senare.
Står det däremot 12 eller 13 kommer din telefon sannolikt aldrig att få en rättning. Det här är inte unikt för just den här buggen: många äldre Android-modeller står utan säkerhetsuppdateringar sedan tillverkaren slutade stödja dem. För dessa användare är byte till en nyare enhet den enda permanenta lösningen.
Google fick in Blaszczyks rapport den 5 maj 2026 och tog fram en rättelse redan den 15 juni, men släppte den först i den publika oktoberuppdateringen. Fram till dess fanns ingen offentlig information om hålet, och alla sårbara telefoner som fått oktoberpatchen är nu skyddade.
