یک پژوهشگر امنیتی اکسپلویت (Exploit) عملیاتی برای آسیب‌پذیری‌ای در اندروید منتشر کرده که با نام «اس‌ام‌اس مرگ» (SMS of Death) شناخته می‌شود. بر اساس گزارش مارک بلاه (Mark Blah)، این نقص امنیتی با شناسه CVE-2026-58882 می‌تواند با ارسال یک پیامک داده ساختگی، فرایندهای مخابراتی گوشی را از کار بیندازد و خدمات سلولی را مختل کند.
وصله گوگل و شکاف نسخه‌های قدیمی
گوگل این باگ را در به‌روزرسانی‌های امنیتی اکتبر ۲۰۲۶ برای اندروید ۱۴ تا ۱۷ برطرف کرده است. با این حال، دستگاه‌های اندروید ۱۲ و اندروید ۱۳ وصله‌ای دریافت نکرده‌اند. بلاه می‌گوید این آسیب‌پذیری در بولتن امنیتی اکتبر گوگل فهرست نشده است، هرچند اصلاح آن در کد تلفنی (Telephony) اندروید دیده می‌شود.
حمله بدون تعامل کاربر
این حمله از نوع بدون کلیک (Zero-click) است. اندروید پیام مخرب را پیش از رسیدن به صندوق پیامک پردازش می‌کند، بنابراین کاربر نشانه‌ای نمی‌بیند که دلیل از کار افتادن گوشی را توضیح دهد. در تحلیل بلاه، ریشه خطا در اعتبارسنجی نادرست مقدار طول هدر (Header Length) در تابع WapPushOverSms.decodeWapPdu است. مهاجم یک پیام WAP Push هشت‌بایتی نامعتبر را به‌صورت پیامک داده (Data SMS) به پورت ۲۹۴۸ ارسال می‌کند. بدون بررسی محدوده (Bounds Check)، مقدار طول هنگام خواندن به‌عنوان عدد صحیح علامت‌دار ۳۲ بیتی به -2147483648 تبدیل می‌شود.
اندروید سپس تلاش می‌کند با این اندازه منفی حافظه تخصیص دهد، که استثنای NegativeArraySizeException را ایجاد کرده و فرایند com.android.phone را از کار می‌اندازد. چون این فرایند مسئول عملکردهای سلولی است، توقف آن اتصال موبایل را مختل کرده و تماس‌های در جریان، از جمله تماس با خدمات اضطراری، را قطع می‌کند.
تکرار خرابی و چرخه راه‌اندازی مجدد
خسارت می‌تواند تکرار شود. اپراتورها ممکن است پیام را دوباره تحویل دهند و اندروید نیز ممکن است پیام‌های ذخیره‌شده روی گوشی را دوباره پردازش کند. در آزمایش بلاه، ۲۰ پیام مخرب گوشی‌ها را به چرخه راه‌اندازی مجدد (Reboot Loop) انداخت. یک دستگاه اندروید ۱۲ تقریباً هر ۹۰ ثانیه به حالت بازیابی (Recovery Mode) راه‌اندازی می‌شد و تنها بازنشانی کارخانه‌ای (Factory Reset) آن را بازیابی کرد.
یک مشارکت‌کننده گیت‌هاب به نام ساکیس (Sakis) روشی برای حذف پیام‌ها با پل اشکال‌زدایی اندروید (Android Debug Bridge یا ADB) پیدا کرده است، اما این روش به رایانه و دانش فنی نیاز دارد. بلاه همچنین یک اکسپلویت اثبات مفهوم (Proof-of-Concept) منتشر کرده که پیام‌های مخرب را از دستگاه اندروید دیگری ارسال می‌کند؛ بنابراین حمله دیگر به ابزار سفارشی نیاز ندارد.
کاربران اندروید چه اقدامی انجام دهند
اصلاح گوگل با عنوان «Fix remote DoS in decodeWapPdu» استثناهای ناشی از پیام‌های نامعتبر را می‌گیرد و آن پیام‌ها را از پایگاه داده پیامک حذف می‌کند تا نتوانند خرابی مکرر ایجاد کنند. کاربران اندروید می‌توانند این اقدامات را انجام دهند:
- وجود به‌روزرسانی سیستم یا امنیتی در انتظار را بررسی و آن را نصب کنند.
- در صورت درخواست، دستگاه را راه‌اندازی مجدد کنند؛ زیرا نصب ممکن است برای تکمیل به راه‌اندازی مجدد نیاز داشته باشد.
- تأیید کنند که گوشی اندروید ۱۴ یا جدیدتر با به‌روزرسانی امنیتی اکتبر ۲۰۲۶ یا جدیدتر اجرا می‌شود.
به‌روزرسانی‌های امنیتی روی دستگاه‌های پشتیبانی‌شده به‌طور خودکار نصب می‌شوند، اما دسترسی به آن‌ها به سازنده گوشی و اپراتور بستگی دارد؛ بنابراین زمان دریافت وصله اکتبر از یک گوشی اندروید ۱۴ تا ۱۷ متفاوت است.
مالکان گوشی‌های اندروید ۱۲ و اندروید ۱۳ هیچ وصله‌ای برای نصب ندارند. بولتن اکتبر، CVE-2026-58882 را فهرست نکرده و هیچ اصلاحی برای این دو نسخه منتشر نشده است.