Güvenlik4 Kas 2026 00:53 UTC·1 dk okuma

Android'de SMS of Death açığı tek mesajla telefonları çökertiyor

Android'deki CVE-2026-58882 açığı, özel hazırlanmış tek bir SMS ile hücresel bağlantıyı kesebiliyor veya telefonu yeniden başlatma döngüsüne sokabiliyor.

A smartphone with a cracked screen showing a no-signal icon and an incoming text message warning. — Görsel: عالم التقنية

SUMO

Dialo

ediviewer

Güvenlik araştırmacısı Mark Blah, Android'de CVE-2026-58882 koduyla izlenen SMS of Death açığını duyurdu. Açık, saldırganların özel hazırlanmış tek bir kısa mesajla telefonun hücresel bağlantısını kesmesine ya da cihazı uzaktan çalışmaz hale getirmesine izin veriyor. Araştırmacı, açığı istismar eden çalışan bir kavram kanıtı da yayımladı.

Açık, "sıfır tıklama" saldırıları sınıfında yer alıyor. Telefon sahibinin hiçbir işlem yapmasına gerek kalmadan devam eden aramaları, acil durum aramaları dahil, kesiyor. Sistem kötü amaçlı mesajı gelen kutusuna ulaşmadan işlediği için kurban, cihazının neden arızalandığına dair görünür bir belirti görmüyor.

Hata nasıl çalışıyor

Sorunun kaynağı, WapPushOverSms.decodeWapPdu işlevinde başlık uzunluğu değerinin doğrulanmaması. Saldırganın, 2948 numaralı bağlantı noktasına veri mesajı olarak sekiz baytlık bozuk bir WAP Push mesajı göndermesi yeterli. Değer negatif sayıya dönüşünce bellek ayırma işlemi başarısız oluyor, hücresel iletişimden sorumlu com.android.phone işlemi çöküyor ve ağ bağlantısı kopuyor.

Operatörlerin kötü amaçlı mesajı yeniden iletmeye çalışması veya Android'in telefonda önceden saklanan mesajları işlemesi, çökmelerin tekrarlanmasına yol açabiliyor. Testlerde 20 kötü amaçlı mesaj, telefonları sürekli yeniden başlatma döngüsüne soktu. Android 12 çalıştıran bir cihaz yaklaşık her 90 saniyede bir kurtarma modunda yeniden başladı ve ancak fabrika ayarlarına dönülerek düzeltilebildi. GitHub katılımcısı Sakis, mesajları ADB aracıyla silmenin bir yolunu buldu; ancak bu yöntem ileri teknik bilgi ve bilgisayar erişimi gerektiriyor.

Yama ve risk altındaki cihazlar

Google, açığı Android 14, 15, 16 ve 17 için Ekim 2026 güvenlik güncellemelerinde kapattı; ancak açık o ayın resmi güvenlik bültenine eklenmedi. Düzeltme, bozuk mesajların işlenmesinden doğan istisnaları yakalıyor ve çökmelerin tekrarını önlemek için kötü amaçlı mesajları SMS veritabanından siliyor.

Yama almayan Android 12 ve 13 cihazlar ile Ekim 2026 güncellemesi henüz ulaşmamış tüm telefonlar savunmasız kalıyor. Güncellemenin gelişi üreticiye ve operatöre bağlı; Galaxy S24 Ultra gibi bazı modeller yamayı kademeli aldı. Çalışan istismar kodu herkese açık olduğundan, Android kullanıcılarına mevcut en son güvenlik güncellemesini en kısa sürede yüklemeleri öneriliyor.