안드로이드 'SMS of Death' 취약점, 문자 한 통에 통신 마비

안드로이드 스마트폰의 이동통신 기능을 특수 제작된 문자 한 통으로 마비시킬 수 있는 제로클릭 취약점 'SMS of Death'(CVE-2026-58882)가 공개됐다. 보안 연구원 마크 블라(Mark Blah)가 세부 내용을 밝혔다. 안드로이드 12와 13 기기는 아직 패치되지 않았다.

수신만으로 장애 발생

이 취약점은 서비스 거부(DoS) 유형으로, 사용자의 조작이 필요 없다. 메시지가 기기에 도착하기만 하면 된다. 안드로이드는 메시지를 받은 편지함에 넣기 전에 처리하기 때문에 장애의 원인을 파악하기도 어렵다.

원인은 안드로이드의 WapPushOverSms.decodeWapPdu 함수가 헤더 길이 값을 제대로 검증하지 않는 데 있다. 특수하게 만든 8바이트 WAP Push 메시지를 범위 검사 없이 32비트 부호 있는 정수로 변환하면 음수가 되고, NegativeArraySizeException 예외가 발생한다. 그 결과 이동통신을 담당하는 com.android.phone 프로세스가 비정상 종료되며, 진행 중인 통화가 끊긴다. 긴급 통화도 예외가 아니다.

연구원은 통신사가 악성 메시지를 다시 전달하거나 안드로이드가 기기에 저장된 메시지를 처리할 때 충돌이 반복될 수 있다고 설명했다. 해당 메시지는 ADB(Android Debug Bridge)로 수동 삭제할 수 있지만, 기술에 익숙한 사용자에게만 가능한 방법이다.

패치 현황과 권고

블라에 따르면 구글은 2026년 10월 보안 업데이트에서 안드로이드 14~17 버전의 취약점을 수정했다. 반면 안드로이드 12와 13 기기는 여전히 취약하다. 그는 다른 안드로이드 기기에서 악성 메시지를 보낼 수 있는 개념 증명(PoC) 코드도 공개했다.

사용자는 제공되는 최신 보안 업데이트를 설치하는 것이 좋다.