Nieuwe Android-exploit ‘SMS of Death’ kan smartphones op afstand laten vastlopen: zelfs noodoproepen lopen gevaar

Een ernstige beveiligingskwetsbaarheid in Android maakt het mogelijk om smartphones op afstand te laten crashen door middel van een speciaal samengesteld sms-bericht. Het slachtoffer hoeft het bericht niet te openen, erop te klikken of er op een andere manier mee te communiceren. De aanval kan mobiele verbindingen verbreken, actieve telefoongesprekken onderbreken en in bepaalde gevallen zelfs leiden tot een aanhoudende herstartlus, waardoor een toestel tijdelijk of langdurig onbruikbaar wordt.

Een beveiligingsonderzoeker heeft eind oktober 2026 een werkende proof-of-concept (PoC) openbaar gemaakt voor een kwetsbaarheid in het Android-besturingssysteem. De kwetsbaarheid staat bekend onder de naam ‘SMS of Death’ en wordt geïdentificeerd als CVE-2026-58882.

Het gaat om een zogenoemde zero-click-aanval. Dat betekent dat een aanvaller geen enkele handeling van het slachtoffer nodig heeft om de aanval uit te voeren. Het ontvangen van een speciaal gemanipuleerd sms-bericht kan al voldoende zijn om een belangrijk onderdeel van de telefonievoorzieningen van Android te laten vastlopen.

Het probleem is bijzonder zorgwekkend omdat het bericht wordt verwerkt voordat het daadwerkelijk in de normale sms-inbox verschijnt. Daardoor kan een gebruiker worden getroffen zonder ooit een verdacht bericht te zien of een melding te ontvangen die duidelijk maakt wat er is gebeurd.

De kwetsbaarheid kan bovendien ernstigere gevolgen hebben dan alleen een tijdelijk vastgelopen smartphone. Volgens de onderzoeker kan de aanval ertoe leiden dat mobiele netwerkverbindingen wegvallen, gesprekken onverwacht worden afgebroken en een toestel herhaaldelijk opnieuw opstart. In een ernstig scenario kan herstel zelfs specialistische technische handelingen vereisen of, afhankelijk van het toestel en de omstandigheden, een fabrieksreset noodzakelijk maken.

Wat is de ‘SMS of Death’-kwetsbaarheid?

De kwetsbaarheid bevindt zich in een onderdeel van Android dat verantwoordelijk is voor het verwerken van bepaalde typen sms-berichten, waaronder zogenaamde WAP Push-berichten.

WAP Push is een oudere mobiele berichtentechnologie die onder meer wordt gebruikt voor het automatisch ontvangen en verwerken van specifieke netwerk- en serviceberichten. Anders dan bij een gewoon sms-bericht kan de inhoud van een dergelijk bericht door het besturingssysteem op de achtergrond worden verwerkt.

Dat gebeurt bijvoorbeeld bij bepaalde berichten die betrekking hebben op mobiele diensten, multimedia-instellingen of configuratiegegevens.

Juist in deze automatische verwerking is een ernstige programmeerfout ontdekt.

De kwetsbaarheid bevindt zich in de Android-functie:

WapPushOverSms.decodeWapPdu

Deze functie is verantwoordelijk voor het uitlezen en verwerken van de gegevensstructuur van een WAP Push-bericht.

Bij het verwerken van bepaalde berichtgegevens wordt een waarde gebruikt die aangeeft hoe lang een gedeelte van de berichtinhoud is. Volgens de technische analyse van de onderzoeker controleert Android deze waarde onvoldoende voordat deze wordt omgezet en gebruikt voor een geheugenbewerking.

Daardoor kan een aanvaller een speciaal samengesteld bericht aanbieden met een waarde die door Android verkeerd wordt geïnterpreteerd.

Het gevolg is dat het besturingssysteem probeert een geheugenstructuur aan te maken met een ongeldige, negatieve grootte.

Dit veroorzaakt een zogenaamde NegativeArraySizeException: een programmeerfout die ontstaat wanneer Android probeert een array aan te maken met een negatieve lengte.

Omdat deze fout niet op de juiste manier werd afgehandeld, kan het proces dat verantwoordelijk is voor belangrijke telefoniefuncties onverwacht beëindigen.

Waarom kan één sms-bericht een complete smartphone ontregelen?

De belangrijkste oorzaak van het probleem is dat de fout niet beperkt blijft tot de sms-applicatie zelf.

Het getroffen Android-onderdeel maakt deel uit van de telefonie-infrastructuur van het besturingssysteem. Het proces com.android.phone speelt een belangrijke rol bij het beheren van mobiele telefonie en netwerkgerelateerde functies.

Wanneer dit proces door de fout crasht, kunnen verschillende essentiële functies tijdelijk niet meer beschikbaar zijn.

De gevolgen kunnen onder meer bestaan uit:

• Het wegvallen van de mobiele netwerkverbinding.
• Het onverwacht verbreken van lopende telefoongesprekken.
• Het tijdelijk niet beschikbaar zijn van mobiele telefonie.
• Het wegvallen van de verbinding met het mobiele netwerk.
• Het opnieuw opstarten van onderdelen van het telefoniesysteem.
• Herhaaldelijke crashes wanneer het toestel hetzelfde schadelijke bericht opnieuw probeert te verwerken.

Een bijzonder ernstig aspect is dat ook gesprekken met hulpdiensten hierdoor kunnen worden onderbroken.

Wanneer een smartphone tijdens een noodoproep door deze kwetsbaarheid zijn telefonieproces verliest, kan de verbinding met de hulpdienst wegvallen. Dat maakt de kwetsbaarheid niet alleen een technisch beveiligingsprobleem, maar ook een potentieel veiligheidsrisico.

Dit betekent overigens niet dat iedere aanval automatisch een noodoproep verbreekt. Het risico ontstaat wanneer de kwetsbaarheid op het verkeerde moment wordt misbruikt en de betreffende telefoniefuncties uitvallen.

Een aanval zonder zichtbare waarschuwing

Een van de meest verontrustende eigenschappen van deze kwetsbaarheid is het onzichtbare karakter van de aanval.

Bij veel bekende cyberaanvallen moet een gebruiker eerst een schadelijke bijlage openen, op een verdachte link klikken, een applicatie installeren of toestemming geven voordat er daadwerkelijk schade kan ontstaan.

Bij ‘SMS of Death’ is dat niet nodig.

Het speciaal samengestelde bericht wordt door Android verwerkt voordat het als een normaal bericht in de inbox terechtkomt. Het slachtoffer hoeft het dus niet eens te zien.

Daardoor kan een aanval plaatsvinden zonder dat de gebruiker een duidelijke waarschuwing krijgt.

Wanneer de smartphone vervolgens zijn mobiele verbinding verliest of opnieuw opstart, kan het voor de eigenaar lijken alsof er sprake is van een gewone systeemstoring, een softwareprobleem of een defect aan het toestel.

Ook het ontbreken van een verdacht sms-bericht in de inbox betekent dus niet automatisch dat er geen schadelijk bericht is ontvangen.

Herhaalde aanvallen kunnen smartphones langdurig onbruikbaar maken

De gevolgen kunnen aanzienlijk ernstiger worden wanneer een aanvaller meerdere schadelijke berichten verstuurt.

Volgens de beveiligingsonderzoeker kunnen dergelijke berichten ervoor zorgen dat het toestel herhaaldelijk opnieuw dezelfde fout tegenkomt.

Dat kan op verschillende momenten gebeuren:

1. Het toestel ontvangt een schadelijk bericht en crasht tijdens de verwerking.
2. Het mobiele netwerk probeert het bericht opnieuw af te leveren.
3. Android probeert eerder opgeslagen berichten opnieuw te verwerken.
4. Dezelfde fout treedt opnieuw op, waardoor het telefonieproces opnieuw vastloopt.

Hierdoor kan een vicieuze cirkel ontstaan waarin de smartphone telkens opnieuw wordt geconfronteerd met hetzelfde probleem.

De onderzoeker meldde dat tijdens tests met ongeveer twintig schadelijke berichten ernstige instabiliteit kon ontstaan. In bepaalde gevallen konden toestellen in een herhaaldelijke herstartcyclus terechtkomen.

Bij een getest Android 12-toestel werd zelfs vastgesteld dat het apparaat ongeveer iedere negentig seconden opnieuw opstartte en uiteindelijk in de herstelomgeving terechtkwam.

Een dergelijke situatie is bijzonder problematisch omdat de eigenaar niet altijd meer normaal toegang heeft tot de smartphone.

Afhankelijk van de toestand van het toestel kan herstel technische kennis en aanvullende hulpmiddelen vereisen. In het slechtste geval kan een fabrieksreset nodig zijn, waarbij gegevens verloren kunnen gaan die niet vooraf zijn geback-upt.

Het is belangrijk hierbij onderscheid te maken tussen de verschillende mogelijke gevolgen: niet iedere ontvangst van een schadelijk bericht leidt automatisch tot een herstartlus of gegevensverlies. De ernst hangt mede af van de hoeveelheid berichten, de softwareversie en de manier waarop het toestel met de fout omgaat.

Welke Android-versies zijn kwetsbaar?

Volgens de gepubliceerde technische analyse is de kwetsbaarheid aangetroffen in Android-versies 12 tot en met 16.

Google heeft naar verluidt een technische oplossing opgenomen in de beveiligingsupdates van oktober 2026 voor Android 14, 15, 16 en 17.

Daarbij is een belangrijke kanttekening noodzakelijk: de betreffende beveiligingsonderzoeker meldt dat de oplossing al in de Android-broncode is verwerkt, maar de kwetsbaarheid is niet afzonderlijk opgenomen in het openbare Android-beveiligingsbulletin van oktober 2026.

Dat betekent dat de relatie tussen de gepubliceerde kwetsbaarheid, de technische oplossing en de officiële beveiligingsregistratie niet op alle punten volledig openbaar is bevestigd.

Voor gebruikers zijn vooral de volgende situaties van belang:

Android 14, 15, 16 en 17

Voor deze versies is volgens de onderzoeker een oplossing beschikbaar in de beveiligingsupdates van oktober 2026. Het is echter belangrijk om te controleren of de betreffende update daadwerkelijk door de fabrikant van het toestel beschikbaar is gesteld en geïnstalleerd.

Android 12 en 13

Voor deze oudere versies is volgens de gepubliceerde informatie geen reguliere oplossing via de genoemde update beschikbaar gekomen.

Dat betekent dat toestellen met deze versies mogelijk kwetsbaar blijven. Dit is vooral relevant voor smartphones die geen reguliere beveiligingsupdates meer ontvangen.

Let op: alleen het Android-versienummer is niet voldoende om vast te stellen of een toestel beschermd is. Fabrikanten kunnen beveiligingsoplossingen op verschillende momenten beschikbaar stellen. Ook kunnen aangepaste Android-versies een eigen updatebeleid hebben.

Waarom staat CVE-2026-58882 niet in het beveiligingsbulletin van Google?

Een opvallend detail is dat de kwetsbaarheid wel onder CVE-2026-58882 wordt vermeld en dat er een technische oplossing in de Android-broncode is aangetroffen, maar dat deze specifieke identificatie niet terug te vinden is in het openbare Android-beveiligingsbulletin van oktober 2026.

Dat is opmerkelijk, omdat dergelijke beveiligingsbulletins normaal gesproken een overzicht bevatten van de kwetsbaarheden waarvoor in een bepaalde update oplossingen worden uitgebracht.

Het ontbreken van een vermelding betekent echter niet automatisch dat de technische oplossing niet bestaat of dat een toestel met de betreffende update onbeschermd is.

Beveiligingsoplossingen kunnen soms al bij fabrikanten of in de broncode beschikbaar zijn voordat alle details officieel openbaar worden gemaakt. Ook kunnen er verschillen bestaan tussen de publicatie van een technische oplossing en de formele registratie of bekendmaking van een kwetsbaarheid.

Volgens de onderzoeker heeft Google de betreffende fout aangepakt met een wijziging die de naam draagt:

‘Fix remote DoS in decodeWapPdu’.

Deze wijziging zorgt ervoor dat uitzonderingen tijdens het verwerken van een verkeerd samengesteld bericht worden afgevangen. Daarnaast worden berichten die de fout veroorzaken uit de sms-database verwijderd om te voorkomen dat Android ze bij een volgende verwerking opnieuw probeert te behandelen.

De exacte uitrol en bescherming per afzonderlijk toestel moeten daarom worden gecontroleerd aan de hand van de geïnstalleerde beveiligingsupdate en informatie van de fabrikant.

Er is inmiddels een werkende proof-of-concept beschikbaar

De beveiligingsonderzoeker heeft inmiddels een proof-of-concept gepubliceerd waarmee de kwetsbaarheid kan worden gedemonstreerd.

Een proof-of-concept is een technische demonstratie waarmee wordt aangetoond dat een beveiligingsprobleem daadwerkelijk kan worden misbruikt.

In dit geval laat de demonstratie zien dat een speciaal samengesteld WAP Push-bericht via een mobiele verbinding kan worden afgeleverd en vervolgens een fout in de Android-telefoniesoftware kan veroorzaken.

De openbaarmaking van een werkende demonstratie vergroot het risico dat ook andere kwaadwillenden belangstelling krijgen voor de kwetsbaarheid.

Het verlaagt bovendien de technische drempel om de fout te onderzoeken en mogelijk tegen kwetsbare toestellen te gebruiken.

Dat betekent niet automatisch dat de kwetsbaarheid op grote schaal wordt misbruikt. Op dit moment is het belangrijk onderscheid te maken tussen het bestaan van een werkende proof-of-concept en daadwerkelijk aangetoonde aanvallen in de praktijk.

Toch is de publicatie reden genoeg om de beveiliging van Android-toestellen serieus te nemen.

Gebruikers wordt nadrukkelijk afgeraden om onbekende proof-of-concept-applicaties of experimentele bestanden te installeren. Het testen van een dergelijke kwetsbaarheid op een eigen of andermans smartphone kan leiden tot uitval van essentiële functies en mogelijk gegevensverlies.

Kan een getroffen smartphone nog worden hersteld?

Wanneer een toestel door deze kwetsbaarheid herhaaldelijk crasht, kan herstel ingewikkeld zijn.

Een ontwikkelaar heeft een mogelijke herstelmethode beschreven waarbij gebruik wordt gemaakt van Android Debug Bridge (ADB).

ADB is een officieel ontwikkel- en diagnosehulpmiddel waarmee een Android-toestel via een computer kan worden benaderd.

Met voldoende technische kennis kan hiermee worden onderzocht of schadelijke berichten nog in de interne berichtendatabase aanwezig zijn en of deze op een gecontroleerde manier kunnen worden verwijderd.

Deze methode is echter niet bedoeld voor de gemiddelde smartphonegebruiker.

Bovendien zijn er omstandigheden waarin de telefoon onvoldoende lang beschikbaar blijft om normale herstelhandelingen uit te voeren.

Wanneer een toestel voortdurend opnieuw opstart, is het verstandig niet op eigen initiatief allerlei herstelcommando's of onbekende software uit te proberen. Een onjuiste handeling kan de situatie verergeren.

Afhankelijk van het toestel en de omstandigheden kan professionele technische ondersteuning noodzakelijk zijn.

Wat kunnen Android-gebruikers doen om zichzelf te beschermen?

De belangrijkste maatregel is het installeren van de meest recente beveiligingsupdate die door de fabrikant voor het betreffende toestel beschikbaar is gesteld.

Omdat inmiddels een werkende proof-of-concept openbaar is gemaakt, is het verstandig niet onnodig te wachten met het controleren van de beveiligingsstatus.

Gebruikers kunnen de volgende stappen uitvoeren.

1. Controleer de Android-versie

Open de instellingen van de smartphone en ga naar:

Instellingen → Over de telefoon → Android-versie.

Hier kun je controleren welke Android-versie op het toestel is geïnstalleerd.

De precieze benaming en locatie van deze optie kunnen per fabrikant verschillen.

2. Controleer het beveiligingspatchniveau

In hetzelfde overzicht staat doorgaans de datum van de laatst geïnstalleerde Android-beveiligingsupdate.

Voor de genoemde oplossing is het belangrijk te controleren of het toestel daadwerkelijk een geschikte update heeft ontvangen.

Een recente Android-versie betekent namelijk niet automatisch dat ook de meest recente beveiligingsoplossingen zijn geïnstalleerd.

3. Controleer op beschikbare updates

Ga naar:

Instellingen → Systeem → Software-update.

Op Samsung-toestellen kan dit bijvoorbeeld staan onder:

Instellingen → Software-update → Downloaden en installeren.

Controleer of er een nieuwe update beschikbaar is en installeer deze wanneer dat het geval is.

4. Start de smartphone opnieuw op

Sommige beveiligingsupdates worden pas volledig actief nadat het toestel opnieuw is opgestart.

Voer daarom na het installeren van een update een herstart uit wanneer daarom wordt gevraagd.

5. Maak regelmatig een back-up

Omdat de onderzoeker melding heeft gemaakt van toestellen die door herhaalde crashes in een herstartlus terechtkwamen, is het verstandig belangrijke gegevens regelmatig veilig te stellen.

Denk hierbij aan foto's, documenten, contacten en andere gegevens die niet verloren mogen gaan.

6. Overweeg vervanging van oudere toestellen

Gebruikers met Android 12 of Android 13 moeten extra alert zijn wanneer hun fabrikant geen beveiligingsupdate voor deze kwetsbaarheid beschikbaar stelt.

Wanneer een toestel geen reguliere beveiligingsupdates meer ontvangt, neemt het risico toe dat bekende kwetsbaarheden onbehandeld blijven.

In dat geval is overstappen naar een toestel dat nog actief wordt ondersteund vanuit beveiligingsoogpunt de verstandigste oplossing.

Wat betekent dit voor de veiligheid van Android?

De ‘SMS of Death’-kwetsbaarheid laat zien dat ook relatief oude mobiele berichtentechnologieën een serieus beveiligingsrisico kunnen vormen wanneer de verwerking ervan niet voldoende wordt gecontroleerd.

Een sms-bericht wordt door veel gebruikers beschouwd als iets eenvoudigs en onschuldigs. Toch kan de manier waarop een besturingssysteem bepaalde berichttypen automatisch verwerkt, gevolgen hebben voor veel belangrijkere onderdelen van een smartphone.

Het probleem is bovendien niet alleen dat een aanvaller een toestel tijdelijk kan laten vastlopen. De mogelijke verstoring van mobiele telefonie maakt deze kwetsbaarheid extra ernstig.

Een smartphone is tegenwoordig immers veel meer dan een apparaat om mee te bellen. Het is voor veel mensen ook een belangrijk hulpmiddel voor tweestapsverificatie, internetbankieren, communicatie, navigatie en het bereiken van hulpdiensten.

Wanneer de telefonievoorzieningen door een aanval uitvallen, kan dat dus veel verder gaan dan een tijdelijk ongemak.

De combinatie van een aanval zonder gebruikersinteractie, het ontbreken van een zichtbare melding en de mogelijkheid van herhaalde crashes maakt deze kwetsbaarheid bijzonder vervelend voor getroffen gebruikers.

Door: Drifter