SMS of Death: ثغرة في أندرويد تعطّل الاتصال الخلوي برسالة واحدة

كشف الباحث الأمني مارك بلاه (Mark Blah) عن ثغرة CVE-2026-58882 التي أطلق عليها اسم SMS of Death. تتيح الثغرة تعطيل عمل هاتف أندرويد عن بُعد عبر رسالة SMS واحدة مصمَّمة خصيصًا. والهجوم من فئة «بلا نقرة» (zero click)، أي يكفي وصول الرسالة إلى الجهاز دون أن يفتحها المستخدم.

ولا تزال النسختان القديمتان من النظام، أندرويد 12 و13، بلا إصلاح. وبحسب الباحث، سدّت غوغل الثغرة في تحديثات أمان أكتوبر 2026 للإصدارات من أندرويد 14 إلى 17.

كيف يعمل الهجوم

يعود الخلل إلى تحقق غير سليم من طول الترويسة في الدالة WapPushOverSms.decodeWapPdu. فعند معالجة رسالة WAP Push مصمَّمة بحجم ثمانية بايتات، تُحوَّل البيانات إلى عدد صحيح موقَّع بطول 32 بت دون التحقق من حدود النطاق. ينتج عن ذلك قيمة سالبة تُطلق الاستثناء NegativeArraySizeException.

نتيجة لذلك تتوقف عملية com.android.phone المسؤولة عن الاتصال الخلوي بشكل مفاجئ، فتنقطع المكالمات الجارية بما فيها مكالمات الطوارئ. ويعالج أندرويد الرسالة قبل وصولها إلى صندوق الوارد، لذلك يصعب تحديد سبب العطل فورًا.

ويشير الباحث إلى أن الأعطال قد تتكرر، مثلًا عندما يحاول مشغّل الاتصالات إعادة تسليم الرسالة الضارة، أو عندما يعالج النظام رسائل محفوظة أصلًا في ذاكرة الجهاز. ويمكن حذفها يدويًا عبر Android Debug Bridge (ADB)، لكن ذلك يتطلب خبرة تقنية.

الخطوة التالية

نشر بلاه نموذج إثبات مفهوم (proof-of-concept) يتيح إرسال هذه الرسائل من جهاز أندرويد آخر، ما يرفع احتمال إساءة الاستخدام. ويُنصح المستخدمون بتثبيت أحدث تحديثات الأمان. أما أصحاب الأجهزة التي تعمل بأندرويد 12 و13 فلا يتوافر لهم حاليًا إصلاح رسمي.