Android SMS of Death açığı, yamanmamış telefonları uzaktan çökertiyor

Güvenlik araştırmacıları, "SMS of Death" olarak adlandırılan ve CVE-2026-58882 koduyla takip edilen bir Android açığını ortaya çıkardı. Bu açık, kötü niyetli kullanıcıların, özel olarak hazırlanmış bir metin mesajı göndererek cep telefonlarının hizmetini kesmesine veya çökmesine neden olabiliyor. Bu tür bir saldırı, hedeflenen telefonların kullanıcılarının herhangi bir etkileşimde bulunmasına gerek kalmadan, acil çağrılar dahil olmak üzere devam eden aramaları kesintiye uğratabiliyor.

Açığın Teknik Detayları

Açığın, Android'in WapPushOverSms.decodeWapPdu fonksiyonunda bir başlık uzunluğu değerinin yanlış doğrulanmasından kaynaklandığı belirtiliyor. Araştırmacı Mark Blah, Google'ın bu açığı, Ekim 2026 güvenlik güncellemeleri ile Android 14 ila 17 sürümleri için yamaladığını ancak açığın Google'ın Ekim güvenlik bülteninde listelenmediğini ifade etti. Daha eski Android 12 ve 13 cihazları ise bu düzeltmeyi almadıkları için hâlâ savunmasız durumda.

Saldırganlar, hedef telefonlara yanlış biçimlendirilmiş sekiz baytlık bir WAP Push mesajı göndererek bu açığı istismar edebiliyor. Bu mesaj, Android'in belleği tahsis etmeye çalıştığında bir NegativeArraySizeException hatası almasına neden olarak, cep telefonu hizmetlerini yöneten com.android.phone sürecinin çökmesine yol açıyor. Bu durum, mobil bağlantıyı kesiyor ve acil çağrılar dahil olmak üzere devam eden telefon görüşmelerini kesintiye uğratıyor.

Saldırının Etkileri

Açığın test edilmesi sırasında, araştırmacı 20 kötü amaçlı mesaj gönderilmesinin telefonların yeniden başlatma döngüsüne girmesine neden olabileceğini buldu. Bir Android 12 cihazında, telefon her 90 saniyede bir kurtarma moduna yeniden başlatıldı ve kullanıcının cihazı geri yüklemek için fabrika ayarlarına sıfırlaması gerekti.

Bir GitHub katkıcısı olan Sakis, kötü amaçlı mesajları Android Debug Bridge (ADB) kullanarak kaldırmanın bir yolunu buldu, ancak bu işlem daha fazla teknik bilgi ve bir bilgisayara erişim gerektiriyor.

Google'ın Çözümü

Google, "decodeWapPdu'daki uzaktan DoS'u düzelt" başlıklı bir yamanın, Android'in yanlış biçimlendirilmiş metin mesajlarını işlerken tetiklenen istisnaları yakalayarak çöküşleri önlediğini belirtiyor. Ayrıca, bu yamanın kötü amaçlı mesajları SMS veritabanından silerek tekrar çöküşlere neden olmasını engellediği ifade ediliyor.

Android güvenlik güncellemeleri genellikle desteklenen cihazlarda otomatik olarak yükleniyor, ancak bu güncellemelerin kullanılabilirliği cihaz üreticisine ve operatöre bağlı. Güncellemelerin yüklenmesi için bir yeniden başlatma gerekebilir.

Ne Anlama Geliyor?

Artık işlevsel bir kanıt-of-kavram açığı yayımlandığına göre, Android kullanıcılarının cihazlarını korumak için en son güvenlik güncellemelerini yüklemeleri şiddetle tavsiye ediliyor. Bu tür açıklar, kullanıcıların bilgilerini ve telefonlarının işlevselliğini tehdit eden ciddi güvenlik riskleri oluşturuyor.