सुरक्षा4 नव॰ 2026, 12:53 am UTC·2 मिनट में पढ़ें

Android में 'SMS of Death' खामी: एक मैसेज से फोन ठप, कॉल कटेंगी

Android की ज़ीरो-क्लिक खामी CVE-2026-58882 एक खास SMS से सेल्युलर सेवा बंद कर सकती है या फोन को रीबूट लूप में डाल सकती है। प्रूफ-ऑफ-कॉन्सेप्ट सार्वजनिक है।

A smartphone with a cracked screen showing a no-signal icon and an incoming text message warning. — छवि: عالم التقنية

SUMO

Dialo

ediviewer

सुरक्षा शोधकर्ता मार्क बलाह ने Android में "SMS of Death" नाम की गंभीर खामी का खुलासा किया है। इसे CVE-2026-58882 कोड दिया गया है। इसके ज़रिए हमलावर सिर्फ एक खास तरीके से बनाए गए टेक्स्ट मैसेज से किसी फोन का सेल्युलर कनेक्शन काट सकता है या उसे दूर से ठप कर सकता है। शोधकर्ता ने इसका काम करने वाला प्रूफ-ऑफ-कॉन्सेप्ट भी सार्वजनिक कर दिया है।

यह "ज़ीरो-क्लिक" श्रेणी का हमला है, यानी फोन के मालिक को कुछ भी करने की ज़रूरत नहीं पड़ती। चल रही कॉल कट जाती हैं, इमरजेंसी कॉल भी। सिस्टम मैसेज को इनबॉक्स में पहुंचने से पहले ही प्रोसेस कर लेता है, इसलिए पीड़ित को फोन खराब होने की कोई स्पष्ट वजह नज़र नहीं आती।

खामी कैसे काम करती है

गड़बड़ी WapPushOverSms.decodeWapPdu फ़ंक्शन में है, जहां हेडर की लंबाई वाली वैल्यू की जांच नहीं होती। हमलावर को बस आठ बाइट का विकृत WAP Push मैसेज, डेटा मैसेज के रूप में, पोर्ट 2948 पर भेजना होता है। वैल्यू ऋणात्मक संख्या में बदलते ही मेमोरी आवंटन विफल हो जाता है और सेल्युलर कार्यों को संभालने वाली com.android.phone प्रक्रिया क्रैश हो जाती है। नतीजतन नेटवर्क से संपर्क टूट जाता है।

शोधकर्ता के अनुसार, जब ऑपरेटर दुर्भावनापूर्ण मैसेज दोबारा भेजने की कोशिश करते हैं या Android फोन में पहले से सहेजे मैसेज प्रोसेस करता है, तब बार-बार क्रैश हो सकते हैं। परीक्षण में 20 ऐसे मैसेज भेजने पर फोन लगातार रीबूट लूप में चले गए। Android 12 वाला एक डिवाइस लगभग हर 90 सेकंड में रिकवरी मोड में रीबूट होता रहा और फैक्टरी रीसेट के बाद ही चल सका। GitHub पर ساكيس नाम के एक योगदानकर्ता ने ADB टूल से ऐसे मैसेज हटाने का तरीका खोजा है, पर उसके लिए उन्नत तकनीकी जानकारी और कंप्यूटर चाहिए।

किन्हें खतरा है

शोधकर्ता के मुताबिक Google ने अक्टूबर 2026 के सिक्योरिटी अपडेट में Android 14, 15, 16 और 17 के लिए इसे ठीक किया, हालांकि उस महीने के आधिकारिक बुलेटिन में इसका उल्लेख नहीं था। Android 12 और 13 वाले डिवाइस असुरक्षित हैं, साथ ही वे फोन भी जिन्हें अक्टूबर 2026 का अपडेट नहीं मिला। फिक्स गलत फॉर्मेट वाले मैसेज से पैदा अपवादों को पकड़ता है और बार-बार क्रैश रोकने के लिए ऐसे मैसेज SMS डेटाबेस से हटा देता है।

अपडेट पहुंचना फोन निर्माता और टेलीकॉम ऑपरेटर पर निर्भर करता है, इसलिए कुछ डिवाइस देर से अपडेट पाएंगे, जैसे Galaxy S24 Ultra को अपडेट चरणबद्ध तरीके से मिला। एक्सप्लॉइट सार्वजनिक होने के बाद Android यूज़र्स को सलाह है कि उपलब्ध नवीनतम सिक्योरिटी अपडेट जल्द से जल्द इंस्टॉल करें।