Die neu beschriebene Rechteausweitung ist als CWE-1189 eingestuft, also als unzureichende Isolierung gemeinsam genutzter Ressourcen auf einem System-on-a-Chip. Eine CVE-Kennung war zum Zeitpunkt der Veröffentlichung noch nicht vergeben. SSD Secure Disclosure erklärt, man habe versucht, den Hersteller über mehrere Kanäle, darunter E-Mail und LinkedIn, zu erreichen, aber keine Antwort erhalten. Dieselbe Feststellung stand bereits in der Offenlegung vom März 2026.

Den Forschern zufolge sitzt der Fehler in einer Modem-Firmware, die von mindestens drei Unisoc-Chipsätzen gemeinsam genutzt wird. Genannt werden der T606 im Motorola E13, der T612 im Realme C33 und der T7250 im Xiaomi Redmi A5. Laut Advisory beliefert das in Shanghai ansässige Unternehmen Unisoc, früher unter dem Namen Spreadtrum bekannt, Marken wie Motorola, Realme und Xiaomi für Geräte, die in mehr als 140 Ländern verkauft werden.

Bestätigt wurde die Schwachstelle auf einem Motorola E13 mit Sicherheitspatchstand Februar 2025 sowie auf einem Xiaomi Redmi A5 mit Patchstand Januar 2026. Für die vollständige Kette braucht es zunächst einen Einstieg auf Modem-Ebene über die bereits im März 2026 veröffentlichte RCE-Schwachstelle. Hinzu kommen eine von Angreifern kontrollierte VoLTE-Infrastruktur und ein Opfer, das den eingehenden Videoanruf annimmt. Die Forscher bauten ihre Proof-of-Concept-Umgebung mit einem quelloffenen 4G-Kernnetz, einem softwaredefinierten Funksystem für die 4G-Funkschnittstelle und speziellen SIM-Karten auf.

Technisch funktioniert die zweite Stufe laut SSD Secure Disclosure so: Sobald Code auf dem Modem läuft, schreibt der Exploit über Coprozessor-Register eine Konfiguration mit Vollzugriff in die ARM Memory Protection Unit des Modems. Dadurch lässt sich der gesamte 32-Bit-Adressraum aus dem Modem-Kontext als lesbar, schreibbar und ausführbar abbilden, einschließlich jener Speicherbereiche, in denen der Android-Kernel liegt.

Möglich wird das durch einen gemeinsam genutzten physischen Speicherraum zwischen Modem-Prozessor und Applikationsprozessor innerhalb des Unisoc-SoC. Nach Angaben der Forscher fehlt eine hardwareseitig erzwungene Grenze, die Code im Modem-Kontext daran hindern würde, den Kernel-Speicher zu verändern. Kernel-Ausführung auf einem Testgerät bestätigten sie anhand von Kernel-Logausgaben, die zeigten, dass der eingeschleuste Programmcode ausgeführt wurde.

Das Android Security Bulletin vom August 2026, das noch vor dieser Veröffentlichung erschien, behandelt die Rechteausweitung nicht. Auch ein Sicherheitsbulletin von UNISOC dazu gibt es nicht. Ein separates UNISOC-Advisory von Oktober 2025 zu CVE-2025-31718 mit einem CVSS-Wert von 7,5 beschreibt zwar einen Fehler bei der Eingabevalidierung im Modem derselben Chipsatzfamilie, laut Quelltext ist aber unklar, ob dieser mit der SSD-Offenlegung vom März 2026 identisch ist.

Der aktuelle Fall folgt auf unabhängige Forschung von Kaspersky ICS CERT aus dem November 2025. Dort wurde dieselbe architektonische Bedingung auf einem anderen Unisoc-Chip, dem UIS7862A in Fahrzeug-Headunits, dokumentiert. Nach dem Erlangen von Modem-Codeausführung über eine andere Schwachstelle konnte auch das Kaspersky-Team den laufenden Android-Kernel über den gemeinsam genutzten physischen Adressraum von Modem und Applikationsprozessor erreichen und verändern. Kaspersky bezeichnete einen seiner Wege zur seitlichen Bewegung über ein verstecktes Direct-Memory-Access-Peripheriegerät als Hardware-Problem, das sich nicht per Software-Update beheben lasse. Der von SSD genutzte Weg über die Memory Protection Unit wäre prinzipiell durch eine Firmware-Änderung adressierbar, doch UNISOC hat laut Quelltext kein entsprechendes Update zugesagt.

Zum Vergleich verweist der Quelltext auf eine von Check Point Research 2022 aufgedeckte koordinierte Unisoc-Modem-Schwachstelle, CVE-2022-20210. Diese wurde von UNISOC gepatcht und über das Android Security Bulletin verteilt. Für die beiden derzeit offengelegten Schwachstellen gibt es eine solche Zusicherung nicht.