آسیب‌پذیری «پیامک مرگ» در اندروید گوشی‌ها را کرش می‌کند و تماس‌های اضطراری را قطع می‌کند

یک آسیب‌پذیری تازه کشف‌شده در اندروید به مهاجمان اجازه می‌دهد با ارسال یک پیامک ساخته‌شده خاص، گوشی قربانی را از کار بیندازند و تماس‌های در حال انجام، از جمله تماس با مراکز اورژانس، را قطع کنند. این نقص که با شناسه CVE-2026-58882 ثبت شده و به «پیامک مرگ» (SMS of Death) معروف است، به هیچ تعامل یا اقدامی از سوی قربانی نیاز ندارد؛ پیامک مخرب حتی پیش از آنکه به صندوق ورودی برسد، آسیب خود را وارد می‌کند. این موضوع را ابتدا BleepingComputer گزارش کرده است.

پژوهشگر امنیتی مارک بلاشچیک (Mark Blaszczyk) این باگ را در بخش WapPushOverSms اندروید، که پیامک‌های WAP Push ارسالی از طریق شبکه سلولی را پردازش می‌کند، کشف کرد. این کد مقدار طول هدر پیامک را می‌خواند و بدون اعتبارسنجی آن را تبدیل می‌کند. یک توالی پنج‌بایتی می‌تواند باعث شود این تبدیل عددی منفی تولید کند که هنگام تخصیص حافظه، خطای NegativeArraySizeException را فعال می‌کند. این خطا فرآیند com.android.phone، یعنی پردازه سیستمی مسئول تماس‌ها و مخابرات، را کرش می‌کند. بلاشچیک می‌گوید این باگ روی دستگاه‌های تست Google Pixel و Samsung Galaxy با نرخ موفقیت صددرصد قابل بازتولید است.

نکته نگران‌کننده این حمله، پنهان‌بودن کامل آن است. پیامک مخرب در صف پیام‌های در انتظار اندروید قرار می‌گیرد، نه در صندوق ورودی قابل مشاهده؛ بنابراین قربانی هیچ اعلانی، شماره فرستنده یا دلیل مشخصی برای کرش دریافت نمی‌کند. سرویس تلفن معمولاً ظرف یک تا دو ثانیه دوباره راه‌اندازی می‌شود، اما اپراتورها می‌توانند پیام تأییدنشده را دوباره ارسال کنند و این چرخه کرش را تکرار کنند. به گفته بلاشچیک، حدود ۲۰ پیامک مخرب می‌تواند دستگاه را برای مدتی طولانی عملاً غیرقابل استفاده کند، چون هر تلاش برای راه‌اندازی مجدد همان رکورد آلوده را در صف می‌خواند.

بلاشچیک این آسیب‌پذیری را در تاریخ ۵ مه ۲۰۲۶ به‌صورت خصوصی به گوگل گزارش داد و گوگل در ۱۵ ژوئن ۲۰۲۶ اصلاحیه فنی آن را ثبت کرد. گوگل به‌جای پذیرفتن راهکار پیشنهادی پژوهشگر برای اعتبارسنجی مستقیم طول هدر، رویه رمزگشایی را در یک مدیریت استثنای گسترده‌تر پیچید که کرش را گرفته و پیام ناقص را از صف حذف می‌کند. این اصلاحیه در به‌روزرسانی امنیتی اکتبر ۲۰۲۶ برای اندروید ۱۴ تا ۱۷ عرضه شد، اما اندروید ۱۲ و ۱۳ که هنوز به پایان پشتیبانی نرسیده‌اند، از این وصله جا ماندند و همچنان آسیب‌پذیر هستند. شناسه CVE-2026-58882 همچنین در بولتن عمومی اکتبر گوگل فهرست نشده بود.

این شکاف کوچک نیست. طبق جدیدترین داده‌های سهم نسخه StatCounter، اندروید ۱۲ و ۱۳ روی‌هم‌رفته حدود یک‌چهارم کل دستگاه‌های فعال اندروید در جهان را تشکیل می‌دهند؛ یعنی جمعیت آسیب‌پذیر به صدها میلیون دستگاه می‌رسد. پروژه GrapheneOS، نسخه متمرکز بر حریم خصوصی اندروید، اعلام کرده اصلاحیه آن در بولتن امنیتی نوامبر منتشر خواهد شد. کاربران دستگاه‌های وصله‌نشده تا پیش از عرضه به‌روزرسانی از سوی سازنده یا اپراتور، هیچ راهکار نرم‌افزاری ندارند؛ بازیابی گوشی‌ای که در چرخه کرش گیر کرده است، یا نیازمند صبر کردن تا پایان چرخه است یا استفاده از Android Debug Bridge برای حذف دستی پیام مخرب، کاری که فراتر از توان اغلب کاربران عادی است.

برای اپراتورها و مدیران دستگاه‌های سازمانی، این آسیب‌پذیری یادآور این است که WAP Push، مکانیزم قدیمی تحویل پیامک که هنوز برای پیکربندی و پیام‌های اپراتوری استفاده می‌شود، همچنان یک سطح حمله فعال روی گوشی‌های امروزی است. تا زمانی که وصله‌ها به‌طور کامل توزیع نشوند، کاربران نسخه‌های قدیمی‌تر اندروید به فیلترینگ سمت اپراتور وابسته‌اند، نه حفاظت روی دستگاه؛ شکافی که مهاجمان می‌توانند آن را به‌صورت انبوه علیه گوشی‌هایی که هرگز به‌روزرسانی دریافت نمی‌کنند، سوءاستفاده کنند.