보안2026. 11. 4. 오전 12:53 UTC·2 분 소요

Android 'SMS of Death' 취약점, 문자 한 통으로 통화 차단

Android 제로클릭 취약점 CVE-2026-58882는 조작된 문자 한 통으로 이동통신을 끊거나 기기를 재부팅 루프에 빠뜨립니다. 실제 PoC도 공개됐습니다.

A smartphone with a cracked screen showing a no-signal icon and an incoming text message warning. — 이미지: عالم التقنية

SUMO

Dialo

ediviewer

보안 연구원 마크 블라(Mark Blah)가 Android 취약점 'SMS of Death'(CVE-2026-58882)를 공개했습니다. 공격자는 특수하게 조작한 문자 메시지 한 통만으로 원격에서 휴대전화의 이동통신 연결을 끊거나 기기를 작동 불능 상태로 만들 수 있습니다. 연구원은 실제로 동작하는 개념 증명(PoC) 코드도 함께 공개했습니다.

이 취약점은 사용자 조작이 필요 없는 '제로클릭' 공격입니다. 긴급 통화를 포함해 진행 중인 통화가 끊깁니다. 악성 메시지는 받은 메시지함에 도착하기 전에 시스템이 처리하기 때문에 피해자는 기기가 멈춘 이유를 알아차리기 어렵습니다.

작동 원리와 피해

원인은 WapPushOverSms.decodeWapPdu 함수가 헤더 길이 값을 검증하지 않는 데 있습니다. 공격자는 8바이트 크기의 변형된 WAP Push 메시지를 데이터 메시지로 2948번 포트에 보내면 됩니다. 이 값이 음수로 변환되면 메모리 할당이 실패하고, 이동통신 기능을 담당하는 com.android.phone 프로세스가 비정상 종료되어 네트워크 연결이 끊깁니다.

연구원에 따르면 통신사가 악성 메시지를 재전송하거나 Android가 기기에 저장된 메시지를 처리할 때 충돌이 반복될 수 있습니다. 테스트에서 악성 메시지 20건을 보내자 기기가 계속 재부팅되는 루프에 빠졌습니다. Android 12 기기 한 대는 약 90초마다 복구 모드로 재부팅했고 초기화 후에야 복구됐습니다. GitHub 기여자 ساكيس는 ADB 도구로 악성 메시지를 삭제하는 방법을 찾았지만, 고급 기술 지식과 PC가 필요합니다.

영향 버전과 대응

연구원은 Google이 2026년 10월 보안 업데이트에서 Android 14, 15, 16, 17용 패치를 배포했다고 밝혔습니다. 다만 해당 월 공식 보안 公지에는 포함되지 않았습니다. Android 12와 13은 패치를 받지 못해 취약하며, 10월 업데이트를 받지 못한 기기도 마찬가지입니다. 패치는 비정상 메시지 처리 중 발생하는 예외를 포착하고, 반복 충돌을 막기 위해 악성 메시지를 SMS 데이터베이스에서 삭제하는 방식입니다.

업데이트 제공 시점은 제조사와 통신사에 따라 달라 Galaxy S24 Ultra처럼 순차적으로 받는 기기도 있습니다. 공격 코드가 공개된 만큼 Android 사용자는 가능한 한 빨리 최신 보안 업데이트를 설치하는 것이 좋습니다.