Egy rosszindulatú SIM-kártya utasíthatja a készüléket, amelyben működik, hogy a támadó által választott parancsokat futtassa. Az elektromosautó-töltőkbe, ipari routerekbe és autós telematikai egységekbe épített mobilmodemeknél ez már elég ahhoz, hogy teljesen átvegyék az eszköz feletti irányítást.

A Birminghami Egyetem és a Fuzzware biztonsági cég kutatói 26 telefont és mobilmodult vizsgáltak meg ebből a szempontból, 9 esetben találták bekapcsolva a képességet, és sikerült is saját kódot futtatniuk egy kereskedelmi forgalomban kapható elektromosautó-töltőn.

A nyolc tesztelt mobilmodulból hat elfogadta a parancsot. A 18 telefon közül csak három: az OPPO Find X5, az OPPO Reno 14 F 5G és az ASUS Zenfone 9. iPhone vagy Pixel készülék nem volt köztük.

A probléma a gép-gép közti kommunikációra szánt hardverekben jelentkezik. A hat érintett modulból öt Quectel gyártmány, ezek közül hármat egy elektromosautó-töltőből, egy ipari routerből és egy autó telematikai vezérlőegységéből emeltek ki.

Az áldozat telefonszámának ismerete önmagában nem elég: minden támadás úgy indul, hogy a rosszindulatú SIM-kártya már a készülékben van. Ezt beteheti valaki kézzel, be lehet csúsztatni vékony köztes kártyaként, kiadhatja egy feltört szolgáltató, vagy bekerülhet szoftveres manipulációval, illetve már a gyártósoron. Felügyelet nélkül működő IoT-eszközöknél, ahol a SIM-tálca könnyen hozzáférhető, más interfész viszont alig van, ez a csere különösen vonzó a támadók számára.

Nincs rá egyetlen központi javítócsomag. A kilenc érintett eszköz mindegyike Qualcomm kommunikációs processzort használ. A felmérésben szereplő további öt, szintén Qualcomm-alapú telefon viszont nem fogadta el a parancsot, amit a tanulmány a gyártói testreszabásokkal magyaráz.

A Qualcomm a kutatóknak azt mondta, készített egy megerősített konfigurációt, amely alapértelmezetten kikapcsolja ezt az interfészt. A Quectel közölte, hogy már orvosolta a fájlhozzáférési hibát, és még dolgozik magán az interfészen. Egyikük sem adott ki nyilvános figyelmeztetést, a modulgyártó sebezhetőségi portálja pedig bejelentkezés nélkül semmilyen információt nem mutat.

A kutatók szerint az interfészt meg kell erősíteni, el kell érni az elavulás állapotát, vagy teljesen le kell tiltani. A megerősített konfiguráció a jövőbeli eszközökön alapértelmezett lesz – mondták a The Hacker Newsnak –, és a javítások frissítés formájában eljutnak az érintett modulokra is. A csapat azonban még nem ellenőrizte, hogy a RUN AT kódútvonalakat ténylegesen eltávolítják-e, vagy csak kikapcsolják.

Akik mobilhálózaton lógó IoT-flottát üzemeltetnek, ma annyit tehetnek, hogy rákérdeznek a modul beszállítójánál: engedélyezve van-e a RUN AT az általuk szállított firmware-ben, és ha igen, le lehet-e tiltani. Az interfészt kihasználó támadásról eddig nem érkezett jelentés.

A szóban forgó parancs egy proaktív parancs, a szabványosított készlet része, amelyet a SIM ahelyett küldhet vissza a modemnek, hogy megvárná, amíg a készülék kiolvassa. A RUN AT arra utasítja a modemet, hogy hajtson végre egy AT parancsot. Ez az a modemvezérlő nyelv, amely még az 1981-es Hayes Smartmodem idejéből származik, és amelyet minden gyártó a saját kiterjesztéseivel bővít. Ha ezt támogatják, a SIM-kártya gyakorlatilag egy általános célú konzolt kap a modemhez.

Marius Muench, a Birminghami Egyetem informatikai tanszékének adjunktusa az egyetem kutatást ismertető bejelentésében azt mondta, hogy a SIM proaktív képessége és az általa megnyitott támadási felület „kifejezetten szerepel a mobilkommunikációs műszaki specifikációkban”. Ezért tekinti az eredményt inkább a szabványnak megfelelő működésnek, nem pedig attól való eltérésnek.

Nem mindegy, hogyan értelmezzük ezt, mert ez határozza meg, milyen lesz a javítás. Az egyes hibák hétköznapi bugok, amelyeket javítócsomaggal lehet orvosolni. Az interfész viszont, amely ezeket elérhetővé teszi, dokumentált képesség, és hogy kikapcsolják-e, arról minden gyártó maga dönt a saját termékei esetében.

Az architektúra az, ami az IoT-oldalon még súlyosabbá teszi a helyzetet. A csapat által vizsgált szinte minden modul egy kis alkalmazásprocesszort futtat a rádió mellett, többnyire Androidot egy ARM Cortex-A7-en, és minden olyan AT parancsot továbbít felfelé, amit a rádió maga nem kezel. Így a SIM-kártya végül egy kis Linux géppel beszélget, amit a héten Baltimore-ban, a USENIX WOOT konferencián bemutatott tanulmányuk „gazdag támadási felületnek” nevez a rosszindulatú SIM-ek számára.

A töltő egy kereskedelmi forgalomban kapható Autel egység, amelyet a cikk a MAXI US AC W12-L-4G modellszámmal azonosít. A belsejében működő Quectel EC25AFXDGA modul atfwd_daemon folyamata egy nem biztonságos formátumstringen keresztül shellhívásba továbbította a támadó által vezérelt szöveget. Egy karakterblokkoló lista elvileg megakadályozta volna a shellből való kitörést. Egy újsor karakter mégis átcsúszott rajta. Két további lépés után a csapat elérte a kódfuttatást, kizárólag a SIM által kiadott parancsokra támaszkodva. Az Autel nem szerepel azok között a cégek között, amelyeket a beszámoló szerint értesítettek; a hibás kód a modulhoz tartozik. Muench a The Hacker Newsnak elmondta, hogy a csapat a modul gyártójaként a Quectelnek jelentett, amely ezután értesítette a saját ügyfeleit.

Az OPPO Reno 14 F 5G telefonon – ez volt az egyik a három készülék közül, amely elfogadta a RUN AT parancsot – az AT+COPS=0,,,0 utasítás 2G-re kényszerítette a készüléket. A tulajdonos ezt nem tudja visszavonni. Nem segít a repülőgép mód ki- és bekapcsolása, a kézi hálózatválasztás, a mobiladat-kapcsolat kapcsolgatása, a SIM letiltása, és az sem, ha a beállításokban másik hálózati generációt választ. A 2G nem használ kölcsönös hitelesítést, ezért egy ilyen, a felhasználó által nem visszafordítható visszaváltás ideális feltételeket teremt egy ál-bázisállomás számára.

Két további parancs lekapcsolta a készüléket, illetve kikapcsolta a modemet. A csapat CATana néven kiadott eszköze 198, SIM-en keresztül elérhető AT parancsot talált ezen az OPPO készüléken.

A harmadik esettanulmányban tetszőleges fájlokat olvastak ki egy Quectel EG25-G modulról egy TFTP daemon segítségével, amely root jogosultsággal fut, és nem ellenőrzi, hogy az elérési út szimbolikus link-e. A fájlokat ezután a modul saját AT+QSMTP parancsaival küldték el e-mailben. Ehhez már nem elég egy rosszindulatú SIM-kártya: a kártékony linknek előbb a modul fájlrendszerére kell kerülnie, például SD-kártyán keresztül, vagy egy célzottan módosított partíció felírásával.

A kutatás előkészítése közben a csoport azt is bemutatta, hogy egy rosszindulatú SIM rá tud venni egy zárolt Android-telefont, hogy felhasználói beavatkozás nélkül megnyisson egy támadó által vezérelt weboldalt – többek között Pixel 6, 8 és 9 készülékeken. A Google ezt a különálló hibát CVE-2025-48618 azonosítóval javította a 2025. decemberi Android biztonsági közleményben.

A felmérés csak azt rögzíti, hogy a vizsgált 26 eszköz hogyan viselkedik. Muench szerint a csapat elég biztos abban, hogy a Quectel EC25, EG25 és RM52xN sorozatának minden modulja érintett, és valószínűnek tartják, hogy más, Qualcomm modemre épülő Quectel modulok is. Úgy fogalmazott, hogy ezeket a modulokat autókban, járműtöltőkben, fizetési terminálokban és más IoT-eszközökben használják, a Quectel pedig nem tesz közzé firmware frissítéseket nyilvánosan, ami megnehezíti a kitettség széles körű felmérését. Senki nem becsülte meg, hány ilyen eszköz van használatban.

A jelentéseket 2026 márciusában küldték el a Google, az Oppo, a Quectel, a Semtech és a Qualcomm számára, a GSMA pedig májusban kapta meg őket. Muench elmondta, hogy a nyitott SIM AT interfészt CVE-2026-57550 azonosítóval követik, amelyet a Qualcommon keresztül osztottak ki, illetve CVD-2026-0122 kóddal a GSMA-nál, bár a CVE rekord még nem jelent meg a CVE Program nyilvános listáján. Oppo és a Google tájékoztatásként kezelte az eredményeket, de a bug bounty programjuk hatókörén kívül esőnek minősítették.

A Semtech megerősítette a megállapításokat, és azt tervezi, hogy kiadja a Qualcomm által írt javítócsomagokat. A Quectel szintén elismerte a hibákat, és közölte, hogy a parancs-injektálás már ismert volt, és az újabb firmware-verziókban javították, de nem tette közzé, mely verziók érintettek, illetve javítottak.

Ugyanez a daemon már korábban is feltűnt: egy másik belépési ponton keresztül elérhető, AT-n át kihasználható parancs-injektálást 2021-ben publikáltak CVE-2021-31698 azonosítóval. Augusztus 10-ig az öt érintett gyártó egyike sem adott ki nyilvános közleményt a kutatásról, a Quectel biztonsági közleményportálja továbbra is bejelentkezéshez kötött, és eddig nem jelentettek aktív kihasználást.