Op 29 oktober 2026 maakte beveiligingsonderzoeker Mark Blaszczyk een kwetsbaarheid in Androids verwerking van WAP Push-sms’jes openbaar. Een wijziging in het Android Open Source Project (AOSP) vangt fouten bij die verwerking af en verwijdert de vastgelopen berichttracker, zodat dezelfde fout niet telkens een crashlus veroorzaakt. Blaszczyk beschrijft de kwetsbaarheid; de AOSP-commit legt de codewijziging vast.
Hoe een WAP Push-bericht de telefoonverbinding kan verstoren
WAP Push is een type databericht dat Android automatisch kan verwerken, voordat het in de inbox verschijnt. Volgens Blaszczyk kan een fout in die verwerking het Android-proces com.android.phone laten crashen. Daardoor kan de mobiele verbinding wegvallen en kunnen actieve gesprekken, ook noodoproepen, worden afgebroken.
Blaszczyk schrijft de fout toe aan WapPushOverSms.decodeWapPdu(). Een lengtewaarde wordt daar volgens hem zonder controle omgezet naar een 32-bits geheel getal. Die waarde kan negatief uitvallen en een NegativeArraySizeException veroorzaken. Hij rapporteert dat de telefoonverbinding per crash 1 à 2 seconden wegvalt en dat opnieuw afleveren van het bericht tot herhaalde crashes kan leiden.
Wat de AOSP-wijziging aanpast
Commit 735d967 laat zien hoe de code de crashlus aanpakt: bij een RuntimeException tijdens het uitlezen van een WAP Push-bericht of het versturen van de sms-uitzending wordt de fout afgevangen. Daarna verwijdert Android de mislukte tracker uit de tijdelijke berichtdatabase. Zo kan hetzelfde bericht niet steeds opnieuw de verwerking laten crashen. De commit is op 15 juni 2026 geschreven en op 5 augustus vastgelegd.
Geteste Android-versies en gemeld patchbereik
Blaszczyk meldt dat hij de crash reproduceerde op Android 12 tot en met Android 16. Volgens hem valt de correctie in de Android-beveiligingsupdate van oktober 2026 binnen het bereik van Android 14 tot en met Android 17. Android 12 en 13 vallen buiten het officiële patchbereik dat hij voor deze correctie noemt. De testreeks en het patchbereik beschrijven verschillende zaken.
Googles beveiligingsbulletin van oktober 2026 zegt dat beveiligingspatchniveau 2026-10-01 of hoger de problemen verhelpt die voor dat niveau zijn opgenomen. Het bulletin noemt CVE-2026-58865 een kritieke denial-of-servicekwetsbaarheid in het Android-framework, zonder die vermelding aan de WAP Push-fout te koppelen.
