CVE-2026-28615: Fejl i Android Telecomm giver ulovlige opkald

CVE-2026-28615 er en sårbarhed i Telecomm-komponenten i Google Android, som styrer telefonopkald på enheden. Fejlen skyldes en mangelfuld tilladelseskontrol, kaldet CWE-862, hvor systemet ikke kontrollerer korrekt, om en app har ret til at igangsætte et opkald. En app, der allerede er installeret på enheden med begrænsede rettigheder, kan udnytte hullet til at opnå flere rettigheder end tilsigtet og starte opkald uden brugerens medvirken eller samtykke.

Sårbarheden findes i Google Android version 17.0. Det rammer alle telefoner og tablets, der kører denne version, herunder både virksomhedsejede enheder og medarbejderes private enheder, der bruges til arbejde (BYOD). Virksomheder med Android-enheder i drift, der endnu ikke har installeret den nyeste sikkerhedsopdatering, er potentielt eksponerede.

En app, der er installeret uden dyb systemadgang, kan misbruge fejlen til at foretage opkald i baggrunden uden at brugeren ser eller godkender det. I praksis kan det bruges til at ringe til dyre udenlandske eller betalingsnumre og dermed skabe et økonomisk tab, eller til at foretage opkald til et lyttenummer, som giver angriberen mulighed for at opfange samtaler eller lydoptagelser fra omgivelserne. For en virksomhed betyder det risiko for uventede telefonudgifter og et brud på fortroligheden omkring samtaler ført på virksomhedens enheder.

CVSS-scoren er 7,8 ud af 10, hvilket er alvorligt. Angrebet kræver lokal adgang, altså at en skadelig app allerede er installeret på enheden, men kræver ikke, at appen har høje rettigheder i forvejen, og det kræver ingen handling fra brugeren, når appen først er installeret. Konsekvensen er høj på alle tre parametre: fortrolighed, integritet og tilgængelighed. Der er ikke oplysninger om, at sårbarheden aktivt udnyttes i angreb, men fordi angrebet ikke kræver brugerinteraktion, kan det ske umærkeligt, hvis en skadelig app først er kommet på enheden.

Sårbarheden lukkes med en sikkerhedsopdatering fra Google. Gør følgende:

1. Installer den nyeste Android-sikkerhedsopdatering på alle enheder, der kører Android 17.0.
2. Tjek enhedernes sikkerhedspatchniveau under indstillinger for at bekræfte, at opdateringen er installeret.
3. Begræns installation af apps fra kilder uden for Google Play via MDM-politikker (Mobile Device Management), hvis I har et sådant system.
4. Gennemgå installerede apps på virksomhedens og medarbejdernes enheder for ukendte eller mistænkelige apps.
5. Informer medarbejdere om ikke at installere apps fra ukendte kilder, indtil opdateringen er rullet ud.
6. Kontakt en it-sikkerhedsrådgiver, hvis I ikke har MDM eller ikke kan verificere patchstatus på virksomhedens enheder.