SMS of Death: Android'de tek mesajla hat hizmetini çökerten açık

Güvenlik araştırmacısı Mark Blah, SMS of Death adıyla anılan CVE-2026-58882 açığını duyurdu. Özel hazırlanmış tek bir SMS, Android telefonun çalışmasını uzaktan bozabiliyor. Saldırı sıfır tıklama (zero click) türünde: mesajın cihaza ulaşması yeterli, kullanıcının açması gerekmiyor.

Açık, Android'in eski sürümleri olan 12 ve 13'te hâlâ kapatılmış değil. Araştırmacıya göre Google, sorunu Android 14 ile 17 arasındaki sürümler için Ekim 2026 güvenlik güncellemelerinde giderdi.

Saldırı nasıl işliyor

Hata, WapPushOverSms.decodeWapPdu işlevinde başlık uzunluğunun yanlış doğrulanmasından kaynaklanıyor. Sekiz baytlık özel bir WAP Push mesajındaki veri, aralık denetimi yapılmadan 32 bitlik işaretli tamsayıya dönüştürülüyor. Ortaya çıkan negatif değer NegativeArraySizeException istisnasına yol açıyor.

Sonuçta hücresel iletişimden sorumlu com.android.phone süreci çöküyor. Süren görüşmeler kesiliyor; acil çağrılar da buna dahil. Android mesajı gelen kutusuna düşmeden önce işlediği için çökmenin nedenini hemen anlamak zor.

Araştırmacı, çökmelerin tekrarlanabileceğini belirtiyor. Operatörün zararlı mesajı yeniden iletmeye çalışması ya da Android'in bellekte kayıtlı mesajları işlemeye kalkması bunu tetikleyebiliyor. Mesajlar Android Debug Bridge (ADB) ile elle silinebiliyor, ancak bu teknik bilgi gerektiriyor.

Sırada ne var

Blah, bu tür mesajların başka bir Android cihazdan gönderilmesini sağlayan bir proof-of-concept kodu yayımladı. Kodun açık olması suistimal riskini artırıyor. Kullanıcıların en son güvenlik güncellemelerini kurması öneriliyor. Android 12 ve 13 kullanan cihaz sahipleri için ise şimdilik resmi bir yama bulunmuyor.