Morten Lyhne Petersen
Indiens cybersäkerhetsmyndighet CERT-In slår larm om allvarliga sårbarheter i Qualcomms Snapdragon-plattformar.
Bristerna gör det möjligt för angripare att köra skadlig kod på distans, höja sina behörigheter och komma åt data i drabbade enheter. Bland de berörda plattformarna finns Snapdragon 8 Elite och Snapdragon 8 Gen 3, som driver en stor del av de premium-Androider som säljs i Sverige.
Varningen kommer i form av rådet CIVN-2026-0223, som Indian Computer Emergency Response Team (CERT-In) publicerade den 9 maj 2026 med högsta hotnivå. Sårbarheterna omfattar bland annat buffer overflow, minneskorruption och ofullständig auktorisering, och kan enligt myndigheten leda till fjärrkörning av kod, behörighetshöjning och informationsläckage.
Två kritiska buggar tar över enheten
De mest allvarliga bristerna har fått CVSS-poängen 9,8 respektive 9,6. CVE-2026-25254 ligger i Qualcomms Software Center och låter en oautentiserad angripare köra kod via SocketIO-gränssnittet. CVE-2026-25293 är en buffer overflow i Power Line Communication-firmware som också medger fjärrkörning av kod, enligt en teknisk genomgång från Cybersecurity News.
Utöver de två huvudbuggarna pekar CERT-In ut sårbarheter i komponenter som WLAN HAL, primärbootloader, DSP-tjänsten, kameran och flera fordonskomponenter. Qualcomm har lagt in flera av rättningarna i sin May 2026 Security Bulletin, men det är enhetstillverkarnas eget tempo som avgör när patchen når slutanvändarna.
Kasperskys BootROM-bugg sitter i hårdvaran
Parallellt med CERT-In-rådet har Kaspersky ICS CERT i slutet av april avslöjat en separat sårbarhet i Qualcomms BootROM, identifierad som CVE-2026-25262. Den drabbar Qualcomms modem- och nätverkskretsar MDM9x07, MDM9x40, MDM9x65, MSM8909, MSM8916, MSM8952 och SDX50, och utnyttjar Sahara-protokollet i Emergency Download Mode, det räddningsläge som telefoner går in i för att kunna återställas eller repareras.
Till skillnad från CERT-In-buggarna kräver BootROM-hålet fysisk tillgång till enheten, men bara några minuter räcker enligt forskarna. Skadan är dessutom svår att rätta, eftersom bristen sitter i hårdvaran på redan tillverkade kretsar.
”Sårbarheter som den här kan låta angripare placera skadeprogram som är svåra att upptäcka och avlägsna”, säger Sergey Anufrienko, säkerhetsexpert vid Kaspersky ICS CERT.
Kaspersky pekar ut reparationer hos tredjepartsverkstäder och passage av tullkontroller som realistiska attackscenarier, där en telefon kan lämnas utan uppsikt i timmar.
Vad svenska användare bör göra
Snapdragon-kretsar sitter i de flesta premium-Androider som säljs i Sverige, däribland Samsung Galaxy S-serien, OnePlus och Xiaomi-modeller i högre prisklass. För konsumenter är det viktigaste rådet att installera Android-säkerhetsuppdateringar så snart de rullas ut av respektive tillverkare.
För modem-buggen från Kaspersky finns ingen patch för befintliga enheter. Här är fysisk omsorg det enda försvaret, alltså att inte lämna telefonen utan uppsikt och att välja auktoriserade verkstäder.
