Im Mittelpunkt steht der proaktive SIM-Befehl RUN AT. Er gehört zu einem standardisierten Satz von Kommandos, mit denen eine SIM dem Modem aktiv Anweisungen geben kann, statt nur ausgelesen zu werden. RUN AT fordert das Modem auf, einen AT-Befehl auszuführen. Da Hersteller diese Modemsprache jeweils um eigene Befehle erweitern, erhält die SIM damit faktisch eine allgemein nutzbare Konsole.
Marius Muench, Assistenzprofessor für Informatik an der University of Birmingham, sagte laut Mitteilung der Universität, die proaktive Fähigkeit der SIM und die dadurch entstehende Angriffsfläche seien „in den technischen Spezifikationen für zellulare Kommunikation ausdrücklich definiert“. Er wertet das Ergebnis deshalb nicht als Abweichung vom Standard, sondern als standardkonformes Verhalten. Genau daraus ergibt sich laut den Forschern auch das Kernproblem: Einzelne Fehler lassen sich patchen, die Schnittstelle selbst ist jedoch dokumentiert und muss von den Herstellern gezielt abgeschaltet, gehärtet oder ausgemustert werden.
Alle neun Geräte, die RUN AT akzeptierten, nutzen laut Untersuchung einen Kommunikationsprozessor von Qualcomm. Fünf andere im Test erfasste Qualcomm-Smartphones akzeptierten den Befehl dagegen nicht; laut dem Paper dürfte das an herstellerspezifischen Anpassungen liegen. Qualcomm teilte den Forschern mit, eine gehärtete Konfiguration entwickelt zu haben, bei der die Schnittstelle standardmäßig deaktiviert ist. Quectel erklärte, den Fehler beim Dateizugriff entschärft zu haben und an der Schnittstelle selbst noch zu arbeiten. Öffentliche Warnhinweise beider Hersteller liegen nicht vor; zudem ist Quectels Schwachstellenportal nur nach Anmeldung einsehbar.
Besonders kritisch ist laut den Forschern die Architektur vieler IoT-Module. Fast jedes untersuchte Modul betreibt neben dem Funkteil einen kleinen Anwendungsprozessor, meist Android auf einem ARM Cortex-A7, und reicht AT-Befehle, die das Funkmodem nicht selbst verarbeitet, an diese Ebene weiter. So spricht die SIM am Ende mit einem kleinen Linux-System. Das Paper, das in dieser Woche auf der USENIX WOOT in Baltimore vorgestellt wurde, bezeichnet das als „eine reichhaltige Angriffsfläche für feindliche SIM-Karten“.
Ein Fallbeispiel betrifft ein kommerzielles Autel-Ladegerät mit der Modellkennung MAXI US AC W12-L-4G. Darin verarbeitet der Dienst atfwd_daemon des Moduls Quectel EC25AFXDGA angreifergesteuerten Text über eine unsichere Formatzeichenkette in einem Shell-Aufruf. Eine Sperrliste für Zeichen sollte Shell-Ausbrüche verhindern, doch ein Zeilenumbruch umging den Schutz. Zwei Stufen später erreichte das Team Codeausführung, ausschließlich gesteuert durch SIM-Kommandos. Autel gehört laut Bericht nicht zu den benachrichtigten Unternehmen, weil der fehlerhafte Code dem Modul zugeordnet wird. Muench sagte The Hacker News, das Team habe Quectel als Modulhersteller informiert, woraufhin Quectel seine Kunden benachrichtigt habe.
Auf einem OPPO Reno 14 F 5G konnte das Team mit dem Befehl AT+COPS=0,,,0 das Gerät dauerhaft auf 2G festlegen. Der Besitzer kann diese Umstellung laut Bericht nicht selbst rückgängig machen, weder über den Flugmodus noch über manuelle Netzwahl, mobile Daten, das Deaktivieren der SIM oder die Netzwerkeinstellungen. Da 2G keine gegenseitige Authentifizierung bietet, schafft eine nicht rückgängig zu machende Herabstufung laut Bericht die Voraussetzungen für eine gefälschte Basisstation. Zwei weitere Befehle schalteten das Smartphone komplett ab beziehungsweise deaktivierten das Modem. Mit dem als CATana veröffentlichten Werkzeug fand das Team auf diesem OPPO-Gerät 198 über die SIM erreichbare AT-Befehle.
Ein drittes Beispiel las beliebige Dateien von einem Quectel EG25-G aus. Dafür nutzten die Forscher einen als Root laufenden TFTP-Dienst, der nicht prüft, ob ein Pfad ein symbolischer Link ist. Anschließend wurden die Daten über die eigenen AT+QSMTP-Befehle des Moduls versendet. Dafür reicht eine feindliche SIM allein allerdings nicht aus: Der manipulierte Link muss bereits im Dateisystem des Moduls vorhanden sein, etwa per SD-Karte oder über eine präparierte Partition.
Die Berichte gingen im März 2026 an Google, Oppo, Quectel, Semtech und Qualcomm, im Mai zudem an die GSMA. Muench sagte, die freiliegende SIM-AT-Schnittstelle werde als CVE-2026-57550 verfolgt, vergeben über Qualcomm, sowie als CVD-2026-0122 durch die GSMA. Ein Eintrag im veröffentlichten Verzeichnis des CVE-Programms lag demnach noch nicht vor. Semtech bestätigte die Ergebnisse und will von Qualcomm geschriebene Patches ausliefern. Quectel bestätigte die Befunde ebenfalls und erklärte, die Befehlsinjektion sei bereits bekannt gewesen und in neuerer Firmware behoben, ohne jedoch betroffene oder korrigierte Versionsstände zu nennen. Zuvor war bereits 2021 eine andere, per AT erreichbare Befehlsinjektion in demselben Dienst unter CVE-2021-31698 veröffentlicht worden.