Android'de tek bir SMS ile telefonun şebeke hizmetini çökerten açık için çalışan kod yayımlandı, Android 12 ve 13'e düzeltme gelmedi

Kendini Mark B olarak tanıtan bir güvenlik araştırmacısı, 29 Ekim’de “SMS of Death” adını verdiği bir Android açığının teknik ayrıntılarını ve çalışan kavram kanıtı (proof-of-concept) kodunu yayımladı. Araştırmacıya göre özel hazırlanmış tek bir WAP Push SMS, Android’de şebeke işlevlerini yöneten com.android.phone sürecini çökertiyor. Bu, acil aramalar dahil süren aramaları kesiyor ve kullanıcının hiçbir şey yapması gerekmiyor. Araştırmacı açığı 5 Mayıs’ta Google’ın Android hata ödül programına bildirdi.

Açığın kaynağı

Araştırmacıya göre Android, gelen WAP Push mesajlarını çözen WapPushOverSms.decodeWapPdu işlevinde, mesaj başlığının uzunluğunu okuyup hiçbir aralık kontrolü yapmadan 32 bitlik işaretli bir tamsayıya çeviriyor ve bu değeri doğrudan bir dizinin boyutu olarak kullanıyor. Sekiz baytlık özel bir mesajda bu değer -2147483648’e dönüşüyor. Android bu negatif boyutla bellek ayırmaya çalışınca yakalanmayan bir hata oluşuyor ve com.android.phone süreci çöküyor.

Araştırmacıya göre mesaj veri SMS’i olarak geliyor ve kullanıcıya hiç gösterilmiyor. Gelen kutusunda bir şey görünmüyor ve gönderenin numarası da ortaya çıkmıyor. Her mesaj, süreç yeniden başlarken bir iki saniyelik şebeke kesintisine yol açıyor. Operatörler teslim edilemeyen mesajları yeniden gönderdiği için tek bir mesaj, araştırmacının testlerinde bir haftaya kadar aralıklı kesintilere yol açtı. Araştırmacıya göre yaklaşık 20 mesaj cihazı uzun süre kullanılamaz hâle getiriyor ve zararlı mesaj sırada bekleyip her açılışta yeniden işlendiği için telefon açılışta çökmeye devam edebiliyor. Araştırmacı açığı Pixel 9 ve çeşitli Samsung Galaxy modellerinde yüzde 100 başarıyla tekrarlayabildiğini belirtiyor.

Düzeltme

Araştırmacıya göre Google’ın düzeltmesi Ekim 2026 Android güvenlik güncellemesiyle Android 14 ile 17 arasındaki sürümlere geldi. Android’in kaynak kodundaki düzeltme, Google mühendisinin 15 Haziran’da yazdığı “Fix remote DoS in decodeWapPdu” başlıklı değişiklik. Değişikliğe göre Android artık WAP Push mesajını çözerken oluşan hatayı yakalıyor ve kalıcı çökme döngülerini önlemek için zararlı mesajı veritabanından siliyor. Araştırmacı, Google’ın uzunluğu kontrol etmek yerine hatayı yakalamayı seçtiğini belirtiyor.

Araştırmacıya göre açığa yol açan kod Android 12’den Android 16’ya kadar test edilen sürümlerde çökmeye yol açtı. Güvenlik güncellemesi almayan Android 12 ve 13 cihazlar aynı kodu çalıştırıyor ve düzeltmeyi almıyor. BleepingComputer’a göre açık CVE-2026-58882 numarasıyla izleniyor, ancak açık Google’ın Ekim bülteninde yer almıyor. Araştırmacının yazısında da bir CVE numarası geçmiyor ve CVE kaydı 1 Kasım itibarıyla yayımlanmadı.

Önerilen önlemler

Araştırmacıya göre Ekim 2026 güvenlik yaması düzeyine ya da daha yenisine güncellenmiş cihazlar korunuyor, daha eski yama düzeyindeki cihazlar savunmasız kalıyor. BleepingComputer’a göre Android güvenlik güncellemeleri desteklenen cihazlarda genellikle kendiliğinden kuruluyor, ancak güncellemenin ne zaman geleceği cihaz üreticisine ve operatöre bağlı ve kurulumun tamamlanması için cihazın yeniden başlatılması gerekebiliyor.

Telefonu çökme döngüsüne girenler için araştırmacı, GitHub kullanıcısı sakisdog’un bulduğu ve bilgisayar ile ADB gerektiren bir kurtarma yöntemini yayımladı. Araştırmacı, kurtarma ekranında “wipe data” seçeneğinin seçilmemesini öneriyor.