Volgens beveiligingsonderzoeker Mark B bevat de Android-beveiligingsupdate van oktober 2026 een oplossing voor een kwetsbaarheid in Android 14–17. De gemelde aanval gebruikt een misvormde WAP Push-data-sms, die zonder handeling van de ontvanger kan worden verwerkt en het telefonieproces kan laten crashen. Mark B schrijft ook over een herstelroute via ADB en maakt onderscheid tussen versies waarop hij de fout reproduceerde en versies die volgens hem kwetsbaar zijn. Mark B beschrijft de kwetsbaarheid en de patchscope.

Hoe een WAP Push-bericht de telefoniedienst kan laten crashen

Een WAP Push-data-sms is volgens Mark B geen gewoon sms-bericht dat eerst in de inbox verschijnt. Android verwerkt het bericht automatisch, zonder dat de ontvanger het opent of erop tikt. De fout zit volgens de onderzoeker in WapPushOverSms, dat het bericht verwerkt binnen het telefoniekader van Android.

Mark B schrijft de crash toe aan een onjuiste verwerking van de lengte in de berichtkop. Dat kan volgens zijn technische beschrijving een fout veroorzaken die het proces com.android.phone laat vastlopen. Dat proces verzorgt de telefoniedienst: tijdens het herstarten kunnen gesprekken wegvallen, ook een noodoproep. De uitval per verwerking duurt volgens hem doorgaans één à twee seconden.

In tests meldde Mark B ook langere gevolgen. Na één bericht trad volgens hem met tussenpozen tot een week lang uitval op; ongeveer twintig berichten konden een toestel langere tijd onbruikbaar maken. Dat zijn de uitkomsten die hij voor zijn tests beschrijft, geen vaste duur of drempel voor elk toestel.

Een crash is iets anders dan een terugkerende lus

Als de telefoon het bericht niet bevestigt, kan de provider het volgens Mark B opnieuw aanbieden. Wordt het bericht bij het opstarten weer verwerkt, dan kan de crash terugkeren en een lus veroorzaken. De onderzoeker beschrijft daarnaast een herstelroute via ADB, waarmee de berichten in de wachtrij kunnen worden verwijderd zonder de telefoon terug te zetten naar de fabrieksinstellingen. Daarvoor zijn een computer en technische ingreep nodig.

De genoemde Android-versies en patchscope

Mark B houdt drie bereiken uit elkaar:

  • Reproductie: hij zegt de fout te hebben gereproduceerd op Android 12 tot en met Android 16, onder meer op een Pixel 9 met firmware van april 2026 en op Samsung Galaxy-toestellen.
  • Getroffen versies: zijn projectpagina noemt Android 12 tot en met Android 17 als kwetsbaar.
  • Patch: volgens Mark B bevat de update van oktober 2026 de oplossing voor Android 14 tot en met Android 17. Hij noemt patchniveau oktober 2026 of later als voorwaarde voor bescherming en zegt dat Android 12 en 13 niet onder die update vallen.

Die bereiken beschrijven verschillende zaken: reproductie, de opgegeven kwetsbare versies en de versies waarvoor de onderzoeker de patch noemt. Zijn patchuitspraak koppelt bescherming aan het geïnstalleerde patchniveau van oktober 2026 of later.