Android’de “Ölüm SMS’i” açığı: Tek mesaj telefon görüşmesini kesiyor

Android telefonlarda “SMS of Death” (Ölüm SMS’i) adı verilen bir güvenlik açığı ortaya çıktı: Saldırgan, kullanıcı hiçbir şeye dokunmadan gönderdiği özel bir mesajla süren telefon görüşmesini kesebiliyor, buna acil yardım çağrıları da dahil. Açığın teknik ayrıntılarını güvenlik araştırmacısı Mark Blaszczyk 29 Ekim’de yayımladı.

CVE-2026-58882 koduyla takip edilen hata, Android 12’den bu yana kullanılan telefon yazılımında duruyor. Blaszczyk saldırıyı Google Pixel 9’da ve birkaç Samsung Galaxy A modelinde denediğini, ikisinde de çalıştığını söylüyor.

Mesaj ekranda bile görünmüyor

Saldırı, operatörlerin telefona ayar göndermek için kullandığı eski WAP Push sistemi üzerinden yapılıyor. Bu tür mesajları telefon kendi kendine işliyor, kullanıcının açmasına gerek yok. Saldırgan yalnızca 8 baytlık bir mesaj yolluyor; mesaj gelen kutusuna düşmüyor, gönderen numara da görünmüyor.

Sorun, mesaj başlığındaki 2.147.483.648 değerinin daha küçük bir veri türüne çevrilirken taşıp eksiye dönmesinden kaynaklanıyor. Bu negatif sayı, aramaları yöneten com.android.phone bileşenini çökertiyor ve hat bir-iki saniyeliğine düşüyor.

İşin can sıkıcı tarafı tekrar. Telefon mesajı aldığını operatöre bildiremeyince mesaj yeniden gönderilebiliyor ve her açılışta aynı çökme yaşanıyor. Blaszczyk’e göre yaklaşık 20 mesaj, cihazı sürekli yeniden başlayan bir döngüye sokmaya yetiyor. Bu noktada çoğu kullanıcının elinde fabrika ayarlarına dönmekten başka yol kalmıyor; bilgisayara bağlayıp ADB ile sorunlu veriyi silmek mümkün ama teknik bilgi istiyor.

Düzeltme yayında, güncellemeyi kontrol edin

Blaszczyk sorunu 5 Mayıs’ta Google’a bildirdiğini, şirketin bunu güvenlik açığı saymadığını söylüyor. Yine de Android’in açık kaynak kayıtları, Google mühendislerinin 15 Haziran’da hatayı düzelten bir değişiklik yaptığını gösteriyor. Araştırmacıya göre düzeltme Android 14, 15, 16 ve 17 için Ekim 2026 güvenlik güncellemesine eklendi. Google ise reddedilen bildirim ile yayımlanan düzeltme arasındaki farkı henüz açıklamadı.

Telefonunuzda Ayarlar > Güvenlik bölümünden güvenlik yaması tarihine bakmak, Ekim 2026’dan eskiyse güncellemeyi yüklemek şu an yapılabilecek en pratik adım.

Kaynak: Euronews