Дослідники з Бірмінгемського університету та компанії Fuzzware продемонстрували, що шкідлива SIM-картка може використовувати стандартний механізм proactive SIM commands для передавання AT-команд модему, що в низці випадків призводить до виконання довільного коду, читання файлів, відключення зв’язку та примусового переведення пристрою в режим 2G. Із 26 протестованих пристроїв — 18 смартфонів і 8 IoT-модемів — уразливий інтерфейс виявився доступним на дев’яти: шести модемах і трьох смартфонах. Проблемі присвоєно ідентифікатори CVE-2026-57550 (Qualcomm) і CVD-2026-0122 (GSMA). Найбільший ризик, за оцінкою дослідників, становлять необслуговувані IoT-пристрої — зарядні станції для електромобілів, промислові маршрутизатори та телематичні модулі.
Механізм атаки: стандарт, а не баг
В основі проблеми лежить команда RUN AT із набору proactive SIM commands — механізму, який дає змогу SIM-картці ініціювати дії на пристрої. За даними дослідників, ця команда наказує модему виконати довільну AT-інструкцію, і це не недокументована функція, а частина специфікацій стільникового зв’язку. AT-команди — це набір інструкцій для керування модемом, що існує з 1980-х років і багаторазово розширювався виробниками обладнання.
Для систематичного тестування дослідники створили тулкит CATana, який визначає, які AT-команди SIM-картка може передати конкретному модему та до яких наслідків це призводить. Серед уразливих смартфонів виявилися Oppo Find X5, Oppo Reno 14 F 5G і Asus Zenfone 9. Із восьми протестованих IoT-модемів шість надавали SIM-картці доступ до AT-інтерфейсу.
Демонстрація атак: від виконання коду до викрадення файлів
Виконання довільного коду на зарядній станції
Найкритичнішу атаку дослідники продемонстрували на комерційній зарядній станції Autel із модулем Quectel EC25-AFX. Експлуатуючи уразливість ін’єкції команд у Linux-середовищі модема, вони досягли виконання довільного коду. Це означає, що зловмисник, який отримав контроль над SIM-карткою в подібному пристрої, потенційно здатен повністю його скомпрометувати.
Примусовий даунгрейд до 2G
На смартфоні Oppo Reno 14 F 5G через SIM-картку виявилися доступними 198 AT-команд і їхніх варіантів. Серед них — команди для вимкнення пристрою, відключення модема та примусового переходу на 2G. За даними дослідників, примусовий перехід на 2G зберігався навіть після вмикання режиму польоту, відключення SIM-картки та зміни мережевих налаштувань. Оскільки в 2G відсутня взаємна автентифікація, такий даунгрейд суттєво спрощує атаки з використанням підроблених базових станцій.
Читання та ексфільтрація файлів
Окремий експлойт давав змогу читати довільні файли з модуля Quectel EG25-G і передавати їх на віддалений сервер через команду AT+QSMTP. Втім, для цієї атаки однієї шкідливої SIM-картки було недостатньо: у файловій системі модуля заздалегідь мала бути спеціально підготовлена символічна посилання.
Відкриття сайту на заблокованому смартфоні
Дослідники також вказують на пов’язану проблему: шкідлива SIM-картка була здатна без участі користувача відкрити підконтрольний зловмиснику сайт навіть на заблокованому Android-смартфоні, включно з моделями Pixel 6, Pixel 8 і Pixel 9. Цей баг, який отримав ідентифікатор CVE-2025-48618, був виправлений Google у грудневому бюлетені безпеки Android 2025 року, хоча поширення оновлень на Android-пристроях залишається нерівномірним.
Оцінка впливу та вектори компрометації SIM
Для реалізації атаки необхідний контроль над SIM-карткою. За даними дослідників, це досяжно кількома шляхами:
- Фізична підміна SIM-картки в пристрої
- Програмна компрометація SIM-картки
- Впровадження шкідливого коду на етапі виробництва
- Отримання контролю через зламаного або недобросовісного оператора зв’язку
Саме тому необслуговувані IoT-пристрої з фізично доступним слотом для SIM-карток, за оцінкою дослідників, є найбільш привабливою ціллю. Зарядні станції, промислові маршрутизатори та автомобільні телематичні системи часто встановлюються в місцях з обмеженим контролем фізичного доступу, а їхні SIM-картки майже ніколи не перевіряються.
Важливо наголосити: наразі немає підтверджень експлуатації цих уразливостей у реальних атаках. Усі демонстрації виконано в межах дослідницького PoC.
Реакція вендорів і рекомендації
Дослідники повідомили Google, Oppo, Quectel, Semtech і Qualcomm у березні 2026 року, а GSMA — у травні. Поточний статус реагування:
- Qualcomm підготував захисний механізм, який за замовчуванням вимикає доступ SIM-картки до AT-команд
- Quectel повідомив про виправлення проблеми з читанням файлів, але продовжує роботу над усуненням доступу до самого інтерфейсу
- Google виправив CVE-2025-48618 у грудні 2025 року
Для організацій, що експлуатують IoT-пристрої з стільниковими модемами, рекомендується:
- Провести аудит фізичної доступності SIM-слотів на необслуговуваному обладнанні та за потреби обмежити доступ до них
- Запитати в виробників модемів інформацію щодо підтримки команди RUN AT і можливості її вимкнення
- Для пристроїв на базі чипсетів Qualcomm — застосувати оновлення прошивки, що за замовчуванням вимикають SIM-доступ до AT-команд, щойно вони стануть доступними
- Для Android-пристроїв — переконатися в установці патча безпеки від грудня 2025 року або новішого
- Розглянути використання SIM-карток від довірених операторів із контролем ланцюга постачання для критично важливого IoT-обладнання
Дане дослідження демонструє системну проблему: стандартизований механізм proactive SIM commands, закладений у специфікації стільникового зв’язку, перетворює SIM-картку на повноцінний вектор атаки на модем і, через нього, на весь пристрій. Організаціям із парком IoT-обладнання на стільниковому зв’язку слід уже зараз оцінити фізичний захист SIM-слотів і запланувати оновлення прошивок модемів у міру виходу патчів від Qualcomm і Quectel.
