„SMS-ul Morţii”: o vulnerabilitate Android permite blocarea telefoanelor printr-un singur mesaj SMS

Prezentă în versiunile Android 12 până la Android 17, vulnerabilitatea identificată prin codul CVE-2026-58882 permite blocarea telefoanelor care nu au primit actualizările de securitate necesare, prin simpla transmitere a unui mesaj SMS special conceput. Exploatarea se bazează pe un şir de câţiva octeţi care declanşează o eroare în protocolul WAP Push, tehnologie concepută pentru a direcţiona utilizatorii către un site web sau o interfaţă online direct dintr-un mesaj SMS, fără a fi necesară introducerea manuală a unei adrese în browser.

În acest caz, însă, procesarea mesajului declanşează o buclă de execuţie continuă, care consumă rapid memoria disponibilă şi poate face telefonul inutilizabil.

Atacul este încadrat în categoria zero-click denial of service (DoS) şi exploatează o validare incorectă a lungimii antetului în funcţia WapPushOverSms.decodeWapPdu din Android. Supranumită „SMS-ul Morţii”, vulnerabilitatea poate fi exploatată printr-un singur mesaj, fără ca victima să fie nevoită să îl deschidă sau să interacţioneze în vreun fel cu acesta.

Cum îţi dai seama că telefonul a fost afectat de „SMS-ul Morţii”

Primele semne ale unui atac reuşit pot fi pierderea semnalului mobil şi întreruperea bruscă a unui apel aflat în desfăşurare. Ulterior, telefonul se blochează şi reporneşte automat, fără să afişeze neapărat un mesaj de eroare.

Problema poate deveni persistentă: dispozitivul se reporneşte la intervale de aproximativ 90 de secunde, deoarece mesajul SMS rămas în Inbox este procesat din nou la fiecare pornire. În cazurile grave, telefonul poate ajunge în modul de recuperare (Recovery Mode).

Eliminarea mesajului problematic devine esenţială pentru oprirea ciclului de reporniri, însă dacă dispozitivul nu mai poate fi accesat în mod normal, soluţia poate ajunge să fie resetarea la setările din fabrică, operaţiune care şterge toate datele stocate pe telefon, inclusiv mesajul maliţios.

Cum funcţionează atacul

Potrivit cercetătorului în securitate care a identificat vulnerabilitatea, atacul presupune transmiterea către un dispozitiv Android a unui mesaj WAP Push malformat, cu o lungime de opt octeţi, direcţionat către portul 2948.

Secvenţa de octeţi identificată este:

01 06 88 80 80 80 00 BE

Interpretată în contextul procesării mesajului, valoarea rezultată ajunge să fie -2147483648, un număr negativ pe care Android încearcă să îl utilizeze pentru alocarea memoriei.

Operaţiunea declanşează o excepţie de tip NegativeArraySizeException, care blochează procesul com.android.phone. Acesta gestionează funcţiile de telefonie mobilă, astfel că efectele se extind rapid asupra conectivităţii celulare şi a apelurilor în desfăşurare. În anumite condiţii, pot fi afectate inclusiv comunicaţiile cu serviciile de urgenţă.

Telefoanele fără actualizări de securitate, cele mai expuse

Google a distribuit deja remedieri pentru versiunile Android mai noi, însă dispozitivele care nu mai beneficiază de suport software şi de actualizări de securitate rămân vulnerabile.

Riscul este cu atât mai important cu cât atacul nu necesită instalarea unei aplicaţii, accesarea unui link sau vreo acţiune din partea utilizatorului. Un singur SMS special construit poate fi suficient pentru a provoca blocarea repetată a telefonului, transformând o vulnerabilitate din sistemul de gestionare a mesajelor într-o problemă serioasă de disponibilitate şi securitate.