Android में 'SMS of Death' खामी: बिना क्लिक फोन हो सकता था ठप

स्वतंत्र साइबर सुरक्षा शोधकर्ता Mark Blaszczyk ने Android की एक zero-day खामी सार्वजनिक की है, जिसे 'SMS of Death' नाम दिया गया है। एक खास तरह का SMS बिना किसी क्लिक के फोन की टेलीफोनी सेवा को क्रैश कर सकता है। Google इस खामी को ठीक कर चुका है, इसलिए अपडेटेड फोन पर खतरा नहीं है।

खामी कैसे काम करती है

समस्या Android के एक पुराने 'data SMS' फॉर्मेट से जुड़े घटक में है, जो पहले MMS नोटिफिकेशन और push कंटेंट के लिए इस्तेमाल होता था। ऐसा संदेश स्क्रीन पर नहीं दिखता और बैकग्राउंड में ही चलता है। Android संदेश के हेडर की लंबाई को long integer के रूप में पढ़ता है और बिना जाँचे उसे 32-बिट signed integer में बदल देता है।

पाँच बाइट की शृंखला 88 80 80 80 00 से यह मान -2147483648 बन जाता है। Android इतने नकारात्मक आकार का byte array बनाने की कोशिश करता है और com.android.phone प्रक्रिया बंद हो जाती है, जो टेलीफोनी संभालती है। हर ऐसा संदेश एक से दो सेकंड के लिए सेवा काट देता है और चालू कॉल टूट जाती हैं।

यह zero-click हमला है। हमलावर को सिर्फ पीड़ित का फोन नंबर चाहिए, और संदेश न इनबॉक्स में दिखता है, न नोटिफिकेशन में।

बार-बार भेजने पर बढ़ता नुकसान

शोधकर्ता के अनुसार एक SMS से थोड़ी देर की रुकावट आती है, पर हमलावर संदेश दोहरा सकता है। एक SMS से एक सप्ताह तक रुक-रुककर कटाव संभव बताया गया है, जबकि करीब 20 संदेश फोन को और लंबे समय तक बेकार कर सकते हैं। लगभग 30 संदेश तेजी से भेजने पर SMS स्टोर करने वाला SQLite डेटाबेस करप्ट हो सकता है, जिसके बाद फोन हर बूट पर क्रैश हो सकता है।

फैक्टरी रीसेट हमेशा कारगर नहीं, क्योंकि वही SMS दोबारा भेजा जा सकता है। शोधकर्ता के मुताबिक भौतिक SIM को किसी गैर-Android फोन में लगाकर खराब संदेश हटाना ही उपाय है। eSIM में यह लगभग असंभव है।

पैच और असर

Blaszczyk ने 5 मई को Android and Devices Vulnerability Reward Program के जरिए Google को सूचना दी। शुरू में इसे सुरक्षा समस्या नहीं माना गया। 15 जून 2026 को सुधार तैयार हुआ और अक्टूबर 2026 के Android सिक्योरिटी अपडेट में Android 14 से Android 17 के लिए जारी हुआ। फोन आमतौर पर खुद अपडेट हो जाएगा।

इस खामी से डेटा चोरी, स्पाइवेयर इंस्टॉल करना या फोन पर नियंत्रण संभव नहीं है। यह केवल denial-of-service हमला है, पर आपातकालीन कॉल प्रभावित होने का जोखिम गंभीर है। अब तक इसके दुरुपयोग का कोई मामला सामने नहीं आया है।