Et opkald der ikke beder om noget

En telefon lyser op med et indgående videoopkald over VoLTE, standarden for tale over LTE, som i dag afvikler de fleste opkald på moderne netværk. Personen der holder den, har endnu ikke rørt ved noget. Et sted under styresystemet, i en del af chippen som de fleste ejere aldrig har hørt om, er modemet allerede selvstændigt i gang med at behandle signaleringsdata fra videoopkaldet på sin egen, adskilte processorkerne.

Den adskilte kerne er målet. Sikkerhedsforskere hos SSD Secure Disclosure offentliggjorde den 17. august 2026 en rådgivning, der beskriver en fungerende exploit-kæde mod Unisoc T612, et chipsæt der findes i en bred vifte af budget- og mellemklasse Android-telefoner. Adgangsvejen går gennem modemets håndtering af VoLTE-videoopkalds-signalering, ikke gennem det Android-styresystem, som brugeren rent faktisk ser.

The Hacker News, som også dækkede rådgivningen, opsummerede betydningen klart: dette er ikke en teoretisk svaghed i en laboratorierapport, men en påvist kæde, hvor en fungerende exploit kan gå fra et telefonopkald til kernekontrol over enheden, uden at brugeren behøver at åbne en app, klikke på et link eller give nogen tilladelse ud over at lade telefonen ringe.

Inde i kæden med tre trin

Forskerne beskriver exploiten som tre sammenkædede trin. Det første kalder de en egg hunter, en teknik der gennemsøger hukommelsen for en lille, forudplaceret payload, så snart angriberen har en eller anden form for skriveadgang, i stedet for at skulle kende de præcise hukommelsesadresser på forhånd. Det er et rekognosceringstrin, der gør et smalt fodfæste brugbart.

Det andet trin er det mest afgørende: en omgåelse af chippens MPU, memory protection unit, den hardwarefunktion, der skal holde modemets kørselsmiljø adskilt fra følsom hukommelse. SSD Secure Disclosure oplyser, at exploiten deaktiverer denne beskyttelse og derefter skriver kerneshellcode direkte, hvilket giver angriberen ubegrænset fysisk hukommelsesadgang fra selve modemets kørselsmiljø, en zone der aldrig burde have rakt så langt.

Det tredje trin er en trampolin via do_sys_open, en lavniveau-kernefunktion der bruges til at åbne filer, som kæden genbruger til at gå fra rå hukommelsesadgang til fuld kernekontrol på Android-siden. Sammenkædet fører de tre trin en angriber fra et modtaget VoLTE-videoopkald til kontrol over selve styresystemets kerne, hvilket ligger tæt på det maksimale adgangsniveau, en enhed kan give.

En chipfamilie, ikke en enkelt telefon

SSD Secure Disclosure og The Hacker News nævner begge to bekræftede berørte enheder: Xiaomi Redmi A5 og Motorola E13, to af de mest solgte Android-telefoner i den billige ende i Europa og andre steder. Begge er præcis den type enhed, en virksomhed køber i bulk til medarbejdere, der har brug for en fungerende telefon, ikke et flagskib.

Eksponeringen er ikke begrænset til de to modeller. Unisoc-chipsæt udgør omkring 14 procent af det globale marked for smartphone-system-on-chip, en andel der næsten udelukkende er bygget på budget- og mellemklasseenheder, og T612 sidder især i telefoner, der sælges under mærker som Honor, Realme, vivo, Samsung og Motorola. Ikke alle Unisoc-telefoner bruger T612, men chipfamiliens udbredelse på tværs af flere store mærker betyder, at det praktiske fodaftryk er større, end to modelnavne antyder.

Netop den kombination, en udbredt chip i et lidet glamourøst markedssegment, er præcis hvorfor sårbarheden betyder noget kommercielt og ikke kun akademisk. Budget- og mellemklasse Android-enheder er standardvalget til flåder, levering, detailhandel, lagre og feltpersonale, netop de hardwarekategorier, der indkøbes i store mængder og opdateres sjældnest.

Hvorfor den normale patch-proces endnu ikke virker

Her er detaljen, der adskiller denne historie fra en rutinemæssig chipsårbarhed: på udgivelsestidspunktet er der ikke tildelt noget CVE-nummer til sårbarheden, og der findes ingen patch fra Unisoc. SSD Secure Disclosure oplyste ligeud, at man kontaktede producenten via to separate kanaler, e-mail og LinkedIn, og ikke har kunnet modtage noget svar. Denne tavshed er nu selv en del af offentliggørelsen.

Almindelig virksomhedssårbarhedsstyring kører på CVE-numre. Scannere tjekker kendte sårbarhedsdatabaser, indkøbslister henviser til CVE-numre, og patch-cyklusser måles op imod dem. En sårbarhed uden CVE dukker simpelthen ikke op i noget af det værktøj, hvilket betyder, at en organisation kan køre en fuldt ud overholdt sårbarhedsstyringsproces og alligevel have nul indsigt i en aktiv, fjernudløselig kerne-exploit i sin egen enhedsflåde.

For en europæisk virksomhed med en BYOD-politik, eller en virksomhed der udleverer budget- eller mellemklasse Android-telefoner til medarbejdere, kan det praktiske svar ikke vente på en scanneralarm, der intet har at scanne efter. Indkøbs- og enhedsstyringsteams bør allerede i dag tjekke, ud fra enhedsmodel og chipsæt, om der er Unisoc T612-hardware i brug, i stedet for at vente på en CVE-post, der måske ikke dukker op efter nogen forudsigelig tidsplan.

Intet af dette betyder, at der aldrig kommer en patch. Det betyder, at den eneste pålidelige måde at vide, om en flåde er eksponeret lige nu, er at kigge direkte på, hvilken hardware der er i brug, fordi det sædvanlige tidlige varslingssystem ikke har noget at advare om.

Læs videre: Google absorberer ikke længere din hukommelsespris  |  To Open Source-Værktøjer Faldt På Få Timer