Android'de «SMS of Death» açığı: tek mesajla telefon çöküyor

Özel hazırlanmış tek bir SMS, Android telefonun çökmesine yol açabiliyor. «SMS of Death» adı verilen açık, sıfır tıklama (zero-click) türünde: kurbanın bir şey açması, yüklemesi ya da onaylaması gerekmiyor. Google açığı kapattı.

Bağımsız siber güvenlik araştırmacısı Mark Blaszczyk, açığın ayrıntılarını kamuoyuyla paylaştı. Sorun, artık pek kullanılmayan eski bir «data SMS» biçiminden kaynaklanıyor. Bu biçim geçmişte MMS bildirimleri ve push içerikleri için kullanılıyordu. Mesaj arka planda işlendiği için ne ekranda ne de bildirimlerde görünüyor.

Saldırı nasıl işliyor

Hata, yeterince denetlenmeyen bir tür dönüşümünden doğuyor. Android, mesaj başlığının uzunluğunu long tamsayı olarak okuyor, ardından değerin makul olup olmadığına bakmadan 32 bitlik işaretli tamsayıya çeviriyor. 88 80 80 80 00 şeklindeki beş baytlık dizi bu değeri -2147483648 yapıyor. Android bu kez negatif boyutlu bir bayt dizisi oluşturmaya çalışıyor ve telefon hizmetini yöneten com.android.phone süreci sonlanıyor.

Bu şekilde bozuk her mesaj hizmeti bir ila iki saniye kesiyor ve devam eden aramaları düşürüyor. Saldırganın yalnızca kurbanın telefon numarasına ihtiyacı var ve mesajı istediği kadar tekrarlayabiliyor. Araştırmacıya göre tek bir SMS bir haftaya kadar aralıklı kesintilere yol açabiliyor, yirmi mesaj ise cihazı daha uzun süre kullanılamaz hale getirebiliyor. Hızlıca gönderilen yaklaşık otuz mesajda tekrarlanan çökmeler, SMS'lerin saklandığı SQLite veritabanını bozabiliyor. Telefon bu durumda yeni mesaj gelmese de her açılışta çökebiliyor.

Fabrika ayarlarına dönmek her zaman çözüm olmuyor, çünkü saldırgan aynı SMS'i yeniden gönderebilir. Araştırmacının önerdiği tek yol, fiziksel SIM kartı çıkarıp Android olmayan bir telefona takmak ve bozuk mesajları silmek. eSIM kullananlar için bu işlem neredeyse imkânsız.

Yama ve risk

Blaszczyk açığı Google'a 5 Mayıs'ta Android and Devices Vulnerability Reward Program üzerinden bildirdi. Google önce konuyu güvenlik sorunu saymadı ve ciddiyetini yeterli bulmadı. Ancak 15 Haziran 2026'da bir düzeltme geliştirildi ve Ekim 2026 Android güvenlik güncellemesine Android 14'ten 17'ye kadar sürümler için eklendi. Çoğu kullanıcının bir şey yapmasına gerek yok, telefon kendiliğinden güncellenecek.

Açık veri çalmaya, casus yazılım kurmaya ya da cihazın denetimini ele geçirmeye izin vermiyor. Etkisi bir tür hizmet engelleme saldırısı: arama yapmayı, arama almayı veya mobil ağı kullanmayı engelleyebiliyor. En ciddi risk acil çağrılarda. Açığın saldırganlarca kullanıldığına dair bugüne kadar bir gözlem yok.