Forschende der University of Birmingham und des Unternehmens Fuzzware haben demonstriert, dass eine bösartige SIM-Karte den standardisierten Mechanismus proactive SIM commands nutzen kann, um AT-Kommandos an das Modem zu übermitteln, was in einigen Fällen zur Ausführung beliebigen Codes, zum Auslesen von Dateien, zur Deaktivierung der Verbindung und zur erzwungenen Umschaltung des Geräts in den 2G-Modus führt. Von 26 getesteten Geräten — 18 Smartphones und 8 IoT-Modems — war die verwundbare Schnittstelle bei neun verfügbar: sechs Modems und drei Smartphones. Dem Problem wurden die Kennungen CVE-2026-57550 (Qualcomm) und CVD-2026-0122 (GSMA) zugewiesen. Das größte Risiko bergen nach Einschätzung der Forschenden unbeaufsichtigte IoT-Geräte — Ladestationen für Elektrofahrzeuge, industrielle Router und Telematikmodule.
Angriffsmechanismus: Standard, kein Bug
Kern des Problems ist der Befehl RUN AT aus dem Satz proactive SIM commands — einem Mechanismus, der es der SIM-Karte erlaubt, Aktionen auf dem Gerät zu initiieren. Nach Angaben der Forschenden weist dieser Befehl das Modem an, einen beliebigen AT-Befehl auszuführen; dabei handelt es sich nicht um eine undokumentierte Funktion, sondern um einen Teil der Mobilfunk-Spezifikationen. AT-Kommandos sind ein Satz von Steueranweisungen für Modems, der seit den 1980er-Jahren existiert und von Geräteherstellern vielfach erweitert wurde.
Für systematische Tests entwickelten die Forschenden das Toolkit CATana, das ermittelt, welche AT-Kommandos eine SIM-Karte an ein bestimmtes Modem übermitteln kann und welche Folgen dies hat. Unter den verwundbaren Smartphones befanden sich Oppo Find X5, Oppo Reno 14 F 5G und Asus Zenfone 9. Von acht getesteten IoT-Modems gewährten sechs der SIM-Karte Zugriff auf die AT-Schnittstelle.
Demonstration der Angriffe: von Codeausführung bis Dateidiebstahl
Ausführung beliebigen Codes auf einer Ladestation
Den kritischsten Angriff demonstrierten die Forschenden an einer kommerziellen Ladestation von Autel mit dem Modul Quectel EC25-AFX. Durch Ausnutzung einer Schwachstelle für Command Injection in der Linux-Umgebung des Modems erreichten sie die Ausführung beliebigen Codes. Das bedeutet, dass ein Angreifer, der die Kontrolle über die SIM-Karte in einem solchen Gerät erlangt, das Gerät potenziell vollständig kompromittieren kann.
Erzwungener Downgrade auf 2G
Auf dem Smartphone Oppo Reno 14 F 5G waren über die SIM-Karte 198 AT-Kommandos und ihre Varianten zugänglich. Darunter befanden sich Befehle zum Ausschalten des Geräts, zum Deaktivieren des Modems und zum erzwungenen Wechsel auf 2G. Nach Angaben der Forschenden blieb der erzwungene Wechsel auf 2G selbst nach Aktivierung des Flugmodus, Deaktivierung der SIM-Karte und Änderung der Netzwerkeinstellungen bestehen. Da es in 2G keine gegenseitige Authentifizierung gibt, erleichtert ein solcher Downgrade Angriffe mit gefälschten Basisstationen erheblich.
Lesen und Exfiltration von Dateien
Ein separater Exploit ermöglichte es, beliebige Dateien vom Modul Quectel EG25-G zu lesen und sie über den Befehl AT+QSMTP an einen entfernten Server zu übertragen. Für diesen Angriff reichte jedoch eine einzelne bösartige SIM-Karte nicht aus: Im Dateisystem des Moduls musste zuvor ein speziell präparierter symbolischer Link vorhanden sein.
Öffnen einer Website auf einem gesperrten Smartphone
Die Forschenden verweisen zudem auf ein verwandtes Problem: Eine bösartige SIM-Karte war in der Lage, ohne Zutun der Nutzerin oder des Nutzers eine vom Angreifer kontrollierte Website selbst auf einem gesperrten Android-Smartphone zu öffnen, darunter Modelle wie Pixel 6, Pixel 8 und Pixel 9. Dieser Bug mit der Kennung CVE-2025-48618 wurde von Google behoben im Android-Sicherheitsbulletin vom Dezember 2025, auch wenn die Verteilung von Updates auf Android-Geräten weiterhin uneinheitlich bleibt.
Bewertung der Auswirkungen und Vektoren zur SIM-Kompromittierung
Für die Durchführung des Angriffs ist die Kontrolle über die SIM-Karte erforderlich. Nach Angaben der Forschenden lässt sich dies auf mehreren Wegen erreichen:
- Physischer Austausch der SIM-Karte im Gerät
- Softwareseitige Kompromittierung der SIM-Karte
- Einschleusen von Schadcode in der Produktionsphase
- Erlangung der Kontrolle über einen gehackten oder böswilligen Mobilfunkanbieter
Daher stellen unbeaufsichtigte IoT-Geräte mit physisch zugänglichem SIM-Kartenslot nach Einschätzung der Forschenden das attraktivste Ziel dar. Ladestationen, industrielle Router und fahrzeugtelemetrische Systeme werden häufig an Orten mit eingeschränkter Kontrolle des physischen Zugangs installiert, und ihre SIM-Karten werden selten überprüft.
Es ist wichtig zu betonen: Derzeit gibt es keine Bestätigung dafür, dass diese Schwachstellen in realen Angriffen ausgenutzt werden. Alle Demonstrationen wurden im Rahmen eines Forschungs-PoC durchgeführt.
Reaktion der Hersteller und Empfehlungen
Die Forschenden informierten Google, Oppo, Quectel, Semtech und Qualcomm im März 2026, die GSMA im Mai. Der aktuelle Stand der Reaktionen:
- Qualcomm hat einen Schutzmechanismus vorbereitet, der den Zugriff der SIM-Karte auf AT-Kommandos standardmäßig deaktiviert
- Quectel berichtete, das Problem beim Lesen von Dateien behoben zu haben, arbeitet jedoch weiter daran, den Zugriff auf die Schnittstelle selbst zu unterbinden
- Google hat CVE-2025-48618 im Dezember 2025 behoben
Organisationen, die IoT-Geräte mit Mobilfunkmodems betreiben, wird Folgendes empfohlen:
- Eine Überprüfung der physischen Zugänglichkeit von SIM-Slots an unbeaufsichtigten Geräten durchführen und den Zugang bei Bedarf einschränken
- Bei Modemherstellern Informationen zur Unterstützung des Befehls RUN AT und zu dessen Deaktivierungsmöglichkeiten anfordern
- Für Geräte mit Qualcomm-Chipsets – sobald verfügbar Firmware-Updates einspielen, die den SIM-Zugriff auf AT-Kommandos standardmäßig deaktivieren
- Für Android-Geräte – sicherstellen, dass der Sicherheitspatch vom Dezember 2025 oder neuer installiert ist
- Für kritische IoT-Infrastruktur den Einsatz von SIM-Karten vertrauenswürdiger Anbieter mit kontrollierter Lieferkette in Betracht ziehen
Diese Studie macht ein systemisches Problem deutlich: Der standardisierte Mechanismus proactive SIM commands, der in die Mobilfunkspezifikationen eingebettet ist, verwandelt die SIM-Karte in einen vollwertigen Angriffsvektor auf das Modem und darüber auf das gesamte Gerät. Organisationen mit einem Bestand an IoT-Equipment mit Mobilfunkanbindung sollten schon jetzt die physische Absicherung der SIM-Slots bewerten und die Aktualisierung der Modem-Firmware planen, sobald Patches von Qualcomm und Quectel verfügbar werden.
