ثغرة «رسالة الموت» في أندرويد تُعطّل الهواتف وتقطع المكالمات الطارئة

تسمح ثغرة أمنية اكتُشفت حديثًا في نظام أندرويد للمهاجمين بتعطيل هاتف الضحية وقطع المكالمات الجارية، بما في ذلك مكالمات الطوارئ، عبر إرسال رسالة نصية واحدة مُعدة بعناية. هذه الثغرة، المسجّلة تحت المعرّف CVE-2026-58882 والمعروفة باسم «رسالة الموت» (SMS of Death)، لا تتطلب أي تفاعل من الضحية؛ فالرسالة الخبيثة تُحدث ضررها قبل أن تصل أصلًا إلى صندوق الوارد. وقد نشر موقع BleepingComputer هذا التقرير أولًا.

اكتشف الباحث الأمني مارك بلاشتشيك (Mark Blaszczyk) هذا الخلل في مكوّن WapPushOverSms في أندرويد، المسؤول عن معالجة رسائل WAP Push المرسلة عبر الشبكة الخلوية. يقرأ الكود قيمة طول الترويسة في الرسالة ويحوّلها دون التحقق من صحتها. يمكن لسلسلة من خمسة بايتات أن تجعل هذا التحويل ينتج رقمًا سالبًا، مما يُطلق استثناء NegativeArraySizeException عند محاولة تخصيص الذاكرة. يؤدي هذا الاستثناء إلى تعطّل العملية com.android.phone، وهي العملية النظامية المسؤولة عن المكالمات والاتصالات الهاتفية. وأفاد بلاشتشيك بأن معدل إعادة إنتاج الثغرة بلغ 100% على أجهزة اختبار من Google Pixel وSamsung Galaxy.

ما يجعل هذا الهجوم خطيرًا هو عدم ظهوره إطلاقًا. تبقى الرسالة الخبيثة في قائمة انتظار الرسائل المعلّقة في أندرويد، لا في صندوق الوارد الظاهر، لذا لا يرى الضحية أي إشعار أو رقم مرسل أو سبب واضح للتعطّل. وعادة ما تُعاد تشغيل خدمة الهاتف خلال ثانية أو ثانيتين، لكن شركات الاتصالات قد تُعيد إرسال الرسالة غير المؤكَّد استلامها، مما يُكرر دورة التعطّل. وبحسب بلاشتشيك، يمكن لنحو 20 رسالة خبيثة أن تجعل الجهاز غير قابل للاستخدام عمليًا لفترة طويلة، إذ تقرأ كل محاولة لإعادة التشغيل السجل الملوَّث نفسه من قائمة الانتظار.

أبلغ بلاشتشيك جوجل بالثغرة بشكل خاص في 5 مايو 2026، واعتمدت جوجل إصلاحًا هندسيًا لها في 15 يونيو 2026. وبدلًا من تبني اقتراح الباحث بالتحقق المباشر من طول الترويسة، لجأت جوجل إلى تغليف روتين فك الترميز بمعالجة استثناءات أوسع تلتقط التعطّل وتحذف الرسالة المشوَّهة من قائمة الانتظار. صدر هذا الإصلاح ضمن تحديث أمان أكتوبر 2026 لإصدارات أندرويد 14 حتى 17، في حين بقي إصداراً أندرويد 12 و13، اللذان لم يصلا بعد إلى نهاية الدعم، خارج نطاق هذا التحديث وما زالا عرضة للخطر. ولم يُدرَج المعرّف CVE-2026-58882 أيضًا في نشرة جوجل العامة لشهر أكتوبر.

هذه الفجوة ليست بسيطة. فوفقًا لأحدث بيانات StatCounter حول حصص إصدارات أندرويد، تمثّل إصدارات أندرويد 12 و13 مجتمعتين نحو ربع إجمالي أجهزة أندرويد النشطة عالميًا، ما يعني أن عدد الأجهزة المعرّضة للخطر يصل إلى مئات الملايين. وأعلن مشروع GrapheneOS، النسخة المعدَّلة من أندرويد التي تركّز على الخصوصية، أن إصلاحه سيصدر ضمن نشرته الأمنية لشهر نوفمبر. ولا يملك مستخدمو الأجهزة غير المحدَّثة أي حل برمجي قبل إصدار التحديث من الشركة المصنّعة أو مشغّل الشبكة؛ واستعادة هاتف عالق في دورة التعطّل تتطلب إما الانتظار حتى تنتهي الدورة أو استخدام أداة Android Debug Bridge لحذف الرسالة الخبيثة يدويًا، وهو إجراء يتجاوز قدرة معظم المستخدمين العاديين.

بالنسبة لمشغّلي الشبكات ومديري الأجهزة في الشركات، تُذكّر هذه الثغرة بأن آلية WAP Push، وهي وسيلة قديمة لتسليم الرسائل النصية لا تزال تُستخدم للتهيئة ورسائل مشغّلي الشبكات، لا تزال سطح هجوم فعّالًا على الهواتف الحديثة. وإلى أن يتم توزيع التحديثات بشكل كامل، يبقى مستخدمو إصدارات أندرويد الأقدم معتمدين على التصفية على مستوى مشغّل الشبكة بدلًا من الحماية على الجهاز نفسه؛ وهي ثغرة يمكن للمهاجمين استغلالها على نطاق واسع ضد الهواتف التي لن تتلقى أي تحديث على الإطلاق.