Güvenlik araştırmacısı Mark Blah, Android işletim sisteminde yakın zamanda düzeltilen ve "Ölüm Kısa Mesajı" (SMS of Death) olarak adlandırılan ve CVE-2026-58882 tanımlayıcısıyla etiketlenen bir güvenlik açığı için kavram kanıtı aracı yayınladı. Bu açık, saldırganların özel olarak değiştirilmiş bir kısa mesaj göndererek hedef telefonlardaki hücresel iletişim hizmetlerini devre dışı bırakmasına veya cihazları uzaktan ve hiçbir kullanıcı etkileşimi olmadan çöktürmesine olanak tanıyor.
Bu açık, herhangi bir etkileşim gerektirmeyen (Zero-click) hizmet reddi saldırıları arasında sınıflandırılıyor; acil arama dahil olmak üzere devam eden aramaları kesintiye uğratabiliyor. Daha da kötüsü, Android mesajı gelen kutusuna ulaşmadan önce işlediğinden, kullanıcıya cihazının neden çöktüğünü gösteren hiçbir görsel belirti kalmıyor.
WapPushOverSms Açığı Nasıl Çalışıyor?
Teknik araştırmacı, açığın Android'deki (WapPushOverSms) bileşenleri içindeki (decodeWapPdu) fonksiyonunda başlık uzunluğu değerinin uygun şekilde doğrulanmamasından kaynaklandığını açıkladı. Saldırıyı gerçekleştirmek için kısa mesaj verisi olarak 2948 numaralı bağlantı noktasına sekiz bayttan oluşan bozuk bir WAP Push mesajı gönderilebiliyor.
Bu değer, sınır denetimi yapılmadan 32 bitlik işaretli bir tamsayıya çevrildiğinde (-2147483648) değerine dönüşüyor ve Android bu negatif değeri kullanarak bellek ayırmaya çalıştığında, (com.android.phone) iletişim yönetimi sürecinin çökmesine neden olan bir (NegativeArraySizeException) istisnası tetikleniyor. Sonuç olarak hücresel bağlantılar kesiliyor ve cihazlar arızalanıyor.
Tekrar Riskleri ve Yeniden Başlatma Döngüleri
Araştırmacının testleri, 20 kötü amaçlı mesaj göndermenin telefonların sürekli yeniden başlatma döngülerine girmesine neden olabileceğini gösterdi. Android 12 çalıştıran bir cihazda telefon, yaklaşık her 90 saniyede bir Kurtarma Modu'na (Recovery Mode) yeniden başladı ve bu durum, cihazı tekrar çalışır hale getirmek için fabrika ayarlarına sıfırlama yapılmasını gerektirdi.
Google, istisnaları yakalayarak ve kötü amaçlı mesajları kısa mesaj veritabanından silerek sorunu çözen bir güvenlik yaması yayınlamış olsa da, Android 12 ve 13 gibi eski cihazlar güncelleme almadıkları için savunmasız kalmaya devam ediyor.
Bu, Kullanıcılar İçin Ne Anlama Geliyor?
Kavram kanıtı aracının kamuoyuna açık olması nedeniyle, desteklenen Android kullanıcılarının cihazlarını potansiyel saldırılardan korumak ve sistem çökmelerinin tekrarlanmasını önlemek için en son güvenlik güncellemelerini sunulur sunulmaz yüklemeleri tavsiye ediliyor.