Nyilvánosságra került az Android „halál SMS-e”: egy üzenet lefagyaszthatja a telefont

A kiberbiztonsági kutató Mark Blah nyilvánosságra hozta az Android rendszerében rejlő, zero-click jellegű sebezhetőséget, amelyet a szakma röviden „SMS of Death” néven emleget. A CVE-2026-58882 azonosítójú hiba lényege: egy rosszul formázott WAP Push adatüzenet képes összeomlasztani a com.android.phone folyamatot, amely a mobilhálózati kapcsolatért, a SIM-kezelésért és a hívásokért felel. A támadás nem igényel kattintást, és az üzenet gyakran meg sem jelenik az SMS-fogadó alkalmazásban.

Láthatatlan üzenet, azonnali hatás

A probléma gyökere a WAP Push technológiában van, amelyet az Android kompatibilitási okokból a mai napig támogat a háttérben. A hiba a WapPushOverSms.decodeWapPdu függvényben található: az üzenet fejlécének hosszát ellenőrzés nélkül alakítja át, és egy speciális, nyolc bájtos adatcsomag esetén a rendszer negatív tömbméretet próbál lefoglalni. Ez NegativeArraySizeException kivételt dob, és leállítja a telefonos alrendszert.

A következmények azonnaliak: megszakadnak a folyamatban lévő hívások — beleértve a segélyhívásokat is —, és rövid időre kiesik a mobilhálózati szolgáltatás. Mivel az üzenet adat-SMS-ként érkezik a 2948-as portra, az áldozat sem értesítést, sem gyanús szöveget nem lát. A kutató tesztjei szerint a hiba Android 12-től 16-ig reprodukálható volt több gyártó készülékén, köztük Pixel és Samsung modelleken.

Az üzenethullám után: újraindítási hurok

Egyetlen rosszindulatú üzenet már zavaró, de a helyzet súlyosbodhat. Ha a szolgáltató sikertelen kézbesítésként újraküldi az SMS-t, a telefon ismét összeomolhat. A kutató szerint nagyjából húsz ilyen üzenet egy agresszív újraindulási hurkot indíthat el: egy Android 12-es tesztkészülék körülbelül másfél percenként a helyreállítási képernyőre került.

A mérgező üzenetek az SMS-adatbázisban maradhatnak, és rendszerindításkor is újra aktiválódhatnak. Átlagos felhasználóknak gyakran csak a gyári visszaállítás marad megoldásként, ami minden helyi adat elvesztésével jár. Technikai felhasználók ADB-n keresztül törölhetik a problémás bejegyzéseket, de ehhez számítógép és fejlesztői ismeretek kellenek.

Javítás van — de nem mindenkinél

A Google a kutató szerint már a 2026. októberi biztonsági frissítésben elérhetővé tette a javítást Android 14, 15, 16 és 17 alatt. Az AOSP-ben „Fix remote DoS in decodeWapPdu” néven szereplő módosítás elkapja a kivételt, és törli a hibás üzenetet az adatbázisból, így megszakítja az újraküldési hurkot is. A javítás június 15-én készült el a forráskódban; a GrapheneOS fejlesztői szerint a biztonsági előnézeti csomagokban már júliusban megjelent.

Fontos azonban két korlát. Először: a hiba nem szerepel a Google októberi hivatalos biztonsági közleményében, így a CVE nem jelenik meg automatikusan a vállalati patch-kezelő rendszerek riportjaiban. Másodszor: az Android 12-et és 13-at futtató, már nem támogatott készülékek nem kapták meg a javítást — ezek világszerte több tízmillió darabot jelenthetnek.

A frissítés eljutása továbbra is a gyártókon és a szolgáltatókon múlik. A védelemhez a biztonsági javítás dátuma 2026-10-01 vagy újabb legyen; ehhez a Beállításokban ellenőrizhető a patch szint.

Mit jelent ez a gyakorlatban?

Blah október 29-én nyilvánosságra hozta a technikai leírást és a működő proof-of-concept eszközt, ami növeli a kockázatot a még nem frissített készülékeken. Magyarországon is érdemes ellenőrizni a rendszerfrissítéseket, és Android 12–13-as, elavult telefonok esetén komolyabban mérlegelni a csere vagy a lecserélés időzítését — különösen vállalati flottákban.

A hiba nem ad hozzáférést adatokhoz, hanem távolról indított szolgáltatásmegtagadást okoz. Mégis komoly veszély: egyetlen telefonszám és egy speciális SMS elegendő lehet ahhoz, hogy valaki percek alatt használhatatlanná tegye a készüléket, vagy megszakítson egy életmentő hívást.

A kutató szerint a Google már a 2026. októberi biztonsági frissítésben javította a hibát Android 14–17 alatt, de a CVE nem szerepel a hivatalos októberi közleményben.

Források: Index, BleepingComputer, smsofdeath.com