Android'deki “SMS of Death” Açığı Güncellenmemiş Telefonları Çökertiyor

Bir güvenlik araştırmacısı, “SMS of Death” adı verilen ve CVE-2026-58882 olarak izlenen, yakın zamanda yamalanmış bir Android açığı için kavram kanıtı niteliğinde bir istismar yayımladı. Özel olarak hazırlanmış bir kısa mesaj, kullanıcıdan hiçbir etkileşim gerektirmeden hücresel hizmeti uzaktan kesintiye uğratabiliyor veya telefonu çökertebiliyor.

Açık, devam eden aramaları ve acil servis aramalarını kesebiliyor. Android mesajı SMS gelen kutusuna ulaşmadan işlediği için kullanıcılar çökmenin nedenine ilişkin bir belirti görmeyebilir. Araştırmacı Mark Blah, Google'ın sorunu Android 14'ten 17'ye kadar olan sürümlere yönelik Ekim 2026 güvenlik güncellemelerinde giderdiğini bildirdi. Ancak açık, Google'ın Ekim güvenlik bülteninde listelenmiyor; Android 12 ve 13 cihazları düzeltmeyi almadığı için savunmasız kalıyor.

Blah'ın analizine göre sorun, Android'in WapPushOverSms.decodeWapPdu işlevindeki bir başlık uzunluğu değerinin hatalı doğrulanmasından kaynaklanıyor. Biçimi bozulmuş sekiz baytlık bir WAP Push mesajı, negatif bir bellek ayırma değerine ve hücresel işlevleri yöneten com.android.phone sürecinin çökmesine yol açabiliyor.

Araştırmacı, operatörlerin kötü amaçlı mesajları yeniden iletme girişimlerinin veya Android'in telefonda kayıtlı mesajları yeniden işleme çabasının tekrarlanan çökmelere neden olabileceğini söyledi. Testlerde 20 kötü amaçlı mesaj telefonları yeniden başlama döngüsüne sokabiliyordu. Android 12 yüklü bir cihaz yaklaşık her 90 saniyede bir kurtarma modunda yeniden başladı. GitHub katkıcısı, mesajları Android Debug Bridge (ADB) kullanarak silmenin bir yolunu buldu; bu yöntem bilgisayar ve daha ileri teknik bilgi gerektiriyor.

Google'ın düzeltmesi istisnaları yakalıyor ve kötü amaçlı mesajları SMS veritabanından siliyor. Android güncellemeleri desteklenen cihazlara genellikle otomatik yükleniyor; ancak kullanılabilirlik üreticiye ve operatöre bağlı ve kurulumu tamamlamak için yeniden başlatma gerekebiliyor. Kaynağa göre kavram kanıtı, mesajları başka bir Android cihazından gönderebiliyor.