Bir SIM kart, hücresel IoT cihazlarının içindeki modemlere saldırgan kod taşıyabiliyor. Birmingham Üniversitesi ile Fuzzware’in araştırması, test edilen 26 telefon ve hücresel modülün 9’unda bu komut yolunun açık olduğunu gösterdi; ekip bu mekanizmayı kullanarak ticari bir elektrikli araç şarj cihazında kendi kodunu çalıştırdı.
Çalışma, insan müdahalesi gerektirmeyen ve SIM yuvasına erişilebilen makineden makineye cihazları merkeze alıyor. Araştırmacılar, saldırının yalnızca telefon numarasını bilmekle başlamadığını; kötü niyetli kartın baştan yuvada bulunması, elle değiştirilmesi, ince bir ara parça olarak sokulması, ele geçirilmiş bir operatör tarafından yerleştirilmesi ya da üretim hattında yazılımsal biçimde eklenmesi gerektiğini aktarıyor. Özellikle erişilebilir SIM tepsisi bulunan, başka dış arayüzü az olan ve sahada başıboş kalan IoT donanımı bu senaryo için hedef haline geliyor.
RUN AT komutu ve açıkta kalan modem katmanı
İnceleme, SIM’in modeme geri komut gönderebildiği “proaktif komut” setindeki RUN AT talimatına odaklanıyor. Bu talimat, modeme AT komutu çalıştırmasını söylüyor. AT komut dili, 1981 tarihli Hayes Smartmodem döneminden geliyor ve üreticiler bu dili yıllar içinde kendi eklemeleriyle genişletiyor. Bu destek, karta genel amaçlı bir komut konsolu veriyor.
Araştırmacılar 26 cihazı sınadı ve 9’unda bu özelliğin açık olduğunu gördü. Test edilen sekiz hücresel modülün altısı komutu kabul etti. 18 telefondan yalnızca üçü etkilendi: OPPO Find X5, OPPO Reno 14 F 5G ve ASUS Zenfone 9. iPhone veya Pixel modellerinden hiçbiri bu grupta yer almadı. Komutu kabul eden dokuz cihazın tamamı Qualcomm iletişim işlemcisi kullanıyordu. Aynı çalışmada incelenen başka beş Qualcomm tabanlı telefon ise komutu reddetti; araştırmacılar bunu üreticiye özel özelleştirmelere bağlıyor.
Bu aşamada tek başına hedefin telefon numarasını bilmek yetmiyor. Saldırganın, SIM kartı zaten makinede olan bir cihaza erişmesi gerekiyor. Araştırmacılar bunu kötü niyetli bir kartın elle takılması, ince bir ara parça olarak yerleştirilmesi, ele geçirilmiş bir operatör tarafından sokulması ya da üretim hattında yazılım yoluyla yerleştirilmesi gibi senaryolarla açıklıyor. Ekip, özellikle denetimsiz bırakılmış IoT ekipmanlarında, erişilebilir SIM tepsisi ve az sayıda başka açık arayüz bulunduğunda bu taktiğin daha anlamlı hale geldiğini belirtiyor.
Birmingham Üniversitesi’nden bilgisayar bilimi yardımcı doçenti Marius Muench, üniversitenin duyurusunda SIM’in proaktif yeteneğinin ve açtığı saldırı yüzeyinin hücresel iletişimin teknik şartnamelerinde açıkça tanımlandığını söyledi. Bu nedenle bulguyu standart dışı bir kırılma değil, standarda uygun bir davranış olarak çerçevelediklerini belirtti. Bu ayrım, düzeltmenin nasıl yapılacağını da değiştiriyor: Tek tek hatalar yamalanabiliyor, ancak bu hatalara kapı açan arayüz belgelenmiş bir özellik olduğu için kapatılıp kapatılmaması üreticinin kararı oluyor.
Her cihaz için tek bir yama bulunmuyor. RUN AT komutunu kabul eden dokuz cihazın tamamı Qualcomm iletişim işlemcisi kullanıyor, ancak araştırmada incelenen beş başka Qualcomm tabanlı telefon bu komutu kabul etmedi. Araştırmacılar bunu üretici özelleştirmelerine bağlıyor. Bu nedenle bazı cihazlarda aynı sınıftaki donanım farklı davranıyor.
Qualcomm, araştırmacılara sertleştirilmiş bir yapılandırma hazırladığını ve arayüzü varsayılan olarak kapattığını bildirdi. Quectel ise dosya erişimi zafiyetini hafiflettiğini, arayüzün kendisi üzerinde çalışmayı sürdürdüğünü söyledi. İki şirket de kamuya açık bir duyuru yayımlamadı. Modül üreticisinin zafiyet portalına ise içerik görmek için giriş yapılması gerekiyor.
Telefon ve modül tarafındaki tablo, araştırmacıların görüşüne göre aynı noktaya çıkıyor: Arayüzün sertleştirilmesi, kullanım dışı bırakılması ya da tamamen kapatılması gerekiyor. Ekibin The Hacker News’e verdiği bilgiye göre gelecekteki cihazlarda sertleştirilmiş yapılandırma varsayılan olacak; etkilenen modüllere de güncellemeler gelecek. Ancak ekip, RUN AT kod yollarının tamamen kaldırılıp kaldırılmadığını değil, yalnızca kapatılıp kapatılmadığını doğrulamadı. Hücresel IoT filolarını işletenler için bugün yapılabilecek adımın, modül tedarikçisine gönderilen sürümde RUN AT’in açık olup olmadığını ve kapatılıp kapatılamayacağını sormak olduğu vurgulandı. Bu arayüz üzerinden şimdiye dek bildirilen bir saldırı bulunmuyor.
Şarj cihazı, telefon ve dosya sızdıran modül örnekleri
Araştırmanın en çarpıcı kanıtlarından biri, ticari bir Autel elektrikli araç şarj cihazında elde edildi. Model kodu MAXI US AC W12-L-4G olarak verilen bu cihazın içinde yer alan Quectel EC25AFXDGA modülünde atfwd_daemon süreci, güvensiz bir format string üzerinden saldırganın kontrol ettiği metni shell çağrısına aktarıyordu. Karakter blok listesi kabuk kaçışlarını durdurmak üzere tasarlanmıştı, ancak bir satır sonu karakteri bu filtreyi aştı. İki aşama sonra araştırmacılar, tamamen SIM komutlarının yönlendirdiği bir akışla kod çalıştırmayı başardı. Yazıda, kusurlu kodun Autel’e değil modüle ait olduğu belirtiliyor. Muench, bulguların Quectel’e modül üreticisi olarak iletildiğini, ardından Quectel’in kendi müşterilerini bilgilendirdiğini söyledi.
OPPO Reno 14 F 5G üzerinde araştırmacılar RUN AT kabul edildiği için birkaç komut daha denedi. AT+COPS=0,,,0 komutu telefonu 2G’ye sabitledi. Kullanıcı bunu ne uçak modu açıp kapatarak, ne şebeke seçiminden manuel ayar yaparak, ne mobil veriyi kapatarak, ne SIM’i devre dışı bırakarak, ne de ayarlardan tercih edilen ağ neslini değiştirerek geri alamadı. 2G’nin karşılıklı kimlik doğrulama sunmaması nedeniyle bu geri döndürülemeyen düşüş, saldırgana sahte baz istasyonu için uygun koşulları veriyor. Aynı cihazda iki komut daha telefonu kapattı ve modemi kapatmaya zorladı. Ekip, CATana adını verdiği araçla bu OPPO telefonunda SIM üzerinden erişilebilen 198 AT komutu buldu.
Üçüncü örnekte araştırmacılar, kök yetkisiyle çalışan bir TFTP daemon üzerinden bir Quectel EG25-G’den rastgele dosyalar okudu. Sorun, dizin yolunun sembolik bağlantı olup olmadığını kontrol etmemesinden kaynaklandı. Dosyalar daha sonra modülün kendi AT+QSMTP komutlarıyla dışarı postalandı. Bu senaryo yalnızca kötü niyetli kartla çalışmıyor; kötü amaçlı bağlantının önce modül dosya sistemine yerleşmiş olması gerekiyor. Araştırmacılara göre bu, SD kart yoluyla ya da özel hazırlanmış bir bölümün flaşlanmasıyla mümkün olabilir.
Çalışma ekibi bu araştırma öncesinde de kötü niyetli bir SIM’in kilitli bir Android telefonda kullanıcı etkileşimi olmadan saldırganın yönettiği bir web sayfasını açtırabildiğini göstermişti. Pixel 6, 8 ve 9 modelleri dahil birçok cihazı etkileyen bu ayrı açık, Google tarafından CVE-2025-48618 olarak yamalandı ve Aralık 2025 Android bülteninde duyuruldu.
Mevcut survey yalnızca test edilen 26 cihazın davranışını ortaya koyuyor. Muench, Quectel’in EC25, EG25 ve RM52xN serilerindeki her modülün etkilenmiş olduğundan oldukça emin olduklarını, Qualcomm modem üzerine kurulu başka Quectel modüllerinin de muhtemelen aynı durumda bulunduğunu söyledi. Bu modüllerin otomobillerde, araç şarj cihazlarında, ödeme terminallerinde ve başka IoT cihazlarında kullanıldığını, Quectel’in firmware güncellemelerini herkese açık şekilde yayımlamadığını ve bunun ölçekli doğrulamayı zorlaştırdığını aktardı. Sahada kaç adet bulunduğuna dair bir sayı yok.
Bildirilen bulgular Mart 2026’da Google, Oppo, Quectel, Semtech ve Qualcomm’a, Mayıs ayında ise GSMA’ya iletildi. Muench, açığa çıkan SIM AT arayüzünün Qualcomm üzerinden CVE-2026-57550, GSMA tarafında ise CVD-2026-0122 olarak takip edildiğini söyledi; buna karşın CVE kaydı henüz CVE Programı’nın yayımlanan listesinde görünmüyor. Oppo ve Google, bulguları bilgilendirici buldu ancak kendi ödül programı kapsamı dışında değerlendirdi.
Semtech bulguları doğruladı ve Qualcomm’un yazdığı yamaları yayımlamayı planladığını açıkladı. Quectel de doğrulama yaptı; komut enjeksiyonunun daha önce bilindiğini ve yeni firmware’de düzeltildiğini söyledi, ancak etkilenen ve düzeltilen sürüm numaralarını paylaşmadı. Aynı daemonun geçmişi de var: AT üzerinden erişilebilen farklı bir komut enjeksiyonu 2021’de CVE-2021-31698 olarak yayımlanmıştı. 10 Ağustos itibarıyla beş üreticinin hiçbiri araştırma hakkında kamuya açık bir duyuru yayımlamadı, Quectel’in duyuru portalı hâlâ giriş zorunluluğu getiriyor ve şimdiye kadar bir istismar bildirimi yapılmadı.
İlgili kayıtlar için: CVE-2025-48618 ve CVE-2021-31698. CVE-2026-57550 kaydının NVD sayfası henüz yayımlanmadı.