Ing. Calogero Bono
एक ही हेरफेर किया गया WAP Push संदेश Android स्मार्टफ़ोन की टेलीफ़ोनी सेवा को क्रैश कर सकता है, कॉल रोक सकता है और कुछ मामलों में लगातार रीबूट का चक्र शुरू कर सकता है। इस खामी का नाम CVE-2026-58882 है और इसे 29 अक्टूबर को शोधकर्ता Mark Blaszczyk ने सार्वजनिक किया। कुछ भी खोलना नहीं पड़ता, और Google का सुधार हर संस्करण को कवर नहीं करता। कंपनी के फ़ोन संभालने वालों के लिए यह मुद्दा ठोस है।
कुछ शब्द, तथ्यों पर जाने से पहले। CVE वह कोड है जो किसी ज्ञात खामी की अलग पहचान करता है। WAP Push एक प्रकार का संदेश है जिसे सिस्टम अपने आप प्रोसेस करता है और जो SMS के इनबॉक्स में दिखाई नहीं दे सकता। Denial of service ऐसा हमला है जो डेटा नहीं चुराता, बल्कि डिवाइस को काम करने से रोकता है। Bootloop लगातार रीबूट होते रहने का चक्र है। ADB कंप्यूटर का वह टूल है जिससे Android फ़ोन से संवाद किया जाता है।
SMS of Death क्या है और यह कैसे काम करता है?
DDay के अनुसार, यह खामी WAP Push संदेशों को संभालने से जुड़ी है, जिन्हें Android के टेलीफ़ोनी फ़्रेमवर्क द्वारा सीधे प्रोसेस किया जाता है। एक गड़बड़ संदेश com.android.phone प्रक्रिया को क्रैश कर देता है और फ़ोन कुछ पलों के लिए मोबाइल नेटवर्क खो देता है।
Punto Informatico के अनुसार, बदले हुए हेडर में एक नकारात्मक मान (-2.147.483.648) है, जो मेमोरी आवंटन के दौरान एक अपवाद पैदा करता है। यह सब संदेश के इनबॉक्स में आने से पहले होता है, इसलिए पीड़ित को कुछ भी संदिग्ध नहीं दिखता।
एक ही संदेश से कितना नुकसान हो सकता है?
एक क्रैश कुछ सेकंड ही चलता है, क्योंकि Android टेलीफ़ोन प्रक्रिया को फिर से शुरू कर देता है। लेकिन अगर उसी समय कोई कॉल चल रही हो, तो वह कट जाती है, आपातकालीन सेवाओं की कॉल भी।
समस्या तब दोबारा होती है जब ऑपरेटर संदेश फिर से भेजने की कोशिश करे या सामग्री कतार में रहकर दोबारा प्रोसेस हो। HDblog के अनुसार लगातार रीबूट का चक्र शुरू करने के लिए 20 संदेश काफ़ी हैं। Android 12 वाले एक डिवाइस पर फ़ोन लगभग हर 90 सेकंड में रिकवरी मोड में चला गया।
इसे दोबारा चालू करने के लिए फ़ैक्टरी रीसेट की ज़रूरत पड़ी। शोधकर्ता ने ADB के ज़रिए समस्या वाले संदेश हटाने की प्रक्रिया भी बताई, लेकिन इसके लिए कंप्यूटर और तकनीकी ज्ञान चाहिए।
क्या डेटा खतरे में है?
DDay के अनुसार नहीं। यह खामी पासवर्ड, फ़ोटो या दूसरा निजी डेटा चुराने नहीं देती। यह एक denial of service हमला है, जो मोबाइल कनेक्टिविटी को निशाना बनाता है।
DDay के अनुसार अभी तक ऐसे बड़े पैमाने के अभियान नहीं मिले हैं जो इसका फ़ायदा उठा रहे हों। शोधकर्ता ने 5 मई को इसकी सूचना Google को दी थी और 29 अक्टूबर को विवरण सार्वजनिक किए, Google Pixel और Samsung Galaxy पर हमला दोहराने के बाद।
कौन सुरक्षित है और कौन असुरक्षित?
शोधकर्ता के विवरण के अनुसार फ़िक्स जून में बना और अक्टूबर के अपडेट में Android 14 से 17 तक के लिए जारी हुआ। अभी भी समर्थित Pixel फ़ोनों पर पैच स्तर 5 अक्टूबर 2026 है।
Android 12 और 13 में कमज़ोर कोड है, लेकिन सुधार नहीं भेजा गया क्योंकि ये संस्करण सपोर्ट से बाहर हैं। जो डिवाइस निर्माता के अपडेट के बिना रह गए हैं, वे असुरक्षित हैं। Punto Informatico का कहना है कि अपडेट बहुत कम डिवाइसों तक पहुँचा है। यह स्थिति Android 17 के धीमे प्रसार के आँकड़ों की याद दिलाती है।
सीमाएँ जो जानना ज़रूरी है
CVE-2026-58882 कोड अक्टूबर के Android सुरक्षा बुलेटिन में स्पष्ट रूप से नहीं दिखता, जबकि उसमें फ़्रेमवर्क की अन्य DoS खामियाँ सूचीबद्ध हैं। फ़िक्स की तारीख और पैच किए गए डिवाइसों की सुरक्षा शोधकर्ता के विवरण से आती है, स्रोतों में Google की पुष्टि से नहीं। हम नहीं जानते कि वास्तव में कितने फ़ोन प्रभावित हैं या क्या कोई लक्षित हमले हुए हैं।
डिजिटल काम करने वालों के लिए क्या बदलता है
उन कंपनियों के लिए जो कर्मचारियों को फ़ोन देती हैं, खतरा डेटा लीक का नहीं बल्कि कॉल और उपलब्धता बाधित होने का है। सबसे पहले यह जानना ज़रूरी है कि कौन से मॉडल और Android संस्करण इस्तेमाल हो रहे हैं। Android 12 या 13 वाले डिवाइसों को तब तक असुरक्षित मानें जब तक उन पर पैच न आए। पैच प्रबंधन सिर्फ़ फ़ोन तक सीमित नहीं है, वही अनुशासन वेबसाइटों पर भी चाहिए, जैसा हम CVE की निगरानी पर बात करते हुए समझाते हैं।
हमारी राय
यह मामला Android की पुरानी कमज़ोरी दिखाता है। सुधार महीनों से मौजूद है, लेकिन अगर निर्माता उसे वितरित नहीं करता या फ़ोन सपोर्ट से बाहर है, तो उसका फ़ायदा खत्म हो जाता है। यह भी चौंकाने वाली बात है कि पहचानकर्ता अक्टूबर के बुलेटिन में नहीं है, जिससे यह जाँचना मुश्किल हो जाता है कि आपके डिवाइस किस स्थिति में हैं। जोखिम सीमित है, पर आपातकालीन कॉल प्रभावित होती हों तो मामला गंभीर बन जाता है।
अक्सर पूछे जाने वाले सवाल
क्या संदेश खोलने पर ही हमला होता है?
नहीं। यह खामी संदेश को सिस्टम द्वारा प्रोसेस करते समय सक्रिय होती है। उसे खोलना, लिंक पर टैप करना या अटैचमेंट डाउनलोड करना ज़रूरी नहीं है।
क्या SMS of Death मेरा डेटा चुराता है?
नहीं। DDay के अनुसार यह पासवर्ड, फ़ोटो या निजी डेटा चुराने की अनुमति नहीं देता। इसका मकसद फ़ोन का काम रोकना है, खासकर मोबाइल कनेक्टिविटी।
कौन से Android संस्करण सुरक्षित हैं?
शोधकर्ता के अनुसार अक्टूबर पैच वाले Android 14, 15, 16 और 17। Android 12 और 13 में कमज़ोर कोड है और उन्हें सुधार नहीं मिला।
फ़ोन बूटलूप में फँस जाए तो क्या करें?
फ़ैक्टरी रीसेट काम करता है, लेकिन इससे डेटा मिट जाता है। विकल्प के तौर पर ADB की एक प्रक्रिया है जिससे समस्या पैदा करने वाले संदेश हटाए जा सकते हैं, लेकिन इसके लिए कंप्यूटर और तकनीकी जानकारी चाहिए।
क्या आपातकालीन कॉल भी कटती हैं?
हाँ। स्रोतों के अनुसार क्रैश चल रही कॉल को भी तोड़ देता है, जिसमें आपातकालीन सेवाओं की कॉल शामिल है। एक क्रैश कुछ सेकंड ही चलता है।
अगले कुछ हफ़्तों में Android पैच पर क्या देखें
असली फ़ैसला इस पर होगा कि अपडेट वास्तव में फ़ोन तक पहुँचते हैं या नहीं। कुछ संकेतों पर नज़र रखना फ़ायदेमंद है।
- जाँचें कि अपडेट किए गए फ़ोन अक्टूबर या उसके बाद का पैच स्तर दिखाते हैं या नहीं।
- देखते रहें कि Google CVE-2026-58882 को सुरक्षा बुलेटिन में शामिल करता है या नहीं।
- Android 12 और 13 वाले उन डिवाइसों को बदलें या अलग रखें जिन्हें अब अपडेट नहीं मिल रहे।
