Ing. Calogero Bono
Satu pesan WAP Push yang dimanipulasi bisa membuat layanan telepon di smartphone Android crash, memutus panggilan, dan dalam kasus tertentu menyebabkan restart terus-menerus. Celah ini bernama CVE-2026-58882 dan dipublikasikan pada 29 Oktober oleh peneliti Mark Blaszczyk. Kamu tidak perlu membuka apa pun, dan perbaikan dari Google tidak mencakup semua versi. Bagi yang mengelola ponsel kantor, masalah ini nyata.
Beberapa istilah sebelum masuk ke fakta. CVE adalah kode yang mengidentifikasi secara unik sebuah kerentanan yang sudah diketahui. WAP Push adalah jenis pesan yang diproses sistem secara otomatis dan mungkin tidak muncul di kotak pesan SMS. Denial of service adalah serangan yang tidak mencuri data tetapi membuat perangkat tidak bisa berfungsi. Bootloop adalah siklus restart yang terus berulang. ADB adalah alat dari komputer untuk berkomunikasi dengan ponsel Android.
Apa itu SMS of Death dan bagaimana cara kerjanya?
Menurut DDay, celah ini berkaitan dengan penanganan pesan WAP Push, yang diproses langsung oleh framework telepon Android. Pesan yang rusak membuat proses com.android.phone crash dan ponsel kehilangan jaringan seluler untuk beberapa saat.
Seperti dilaporkan Punto Informatico, header yang dimodifikasi berisi nilai negatif (-2.147.483.648) yang memicu exception saat alokasi memori. Semua ini terjadi sebelum SMS masuk ke daftar pesan, sehingga korban tidak melihat sesuatu yang mencurigakan.
Seberapa besar kerusakan yang bisa ditimbulkan oleh satu pesan?
Satu kali crash hanya berlangsung beberapa detik, karena Android me-restart proses telepon. Namun jika saat itu sedang ada panggilan, panggilan tersebut terputus, termasuk panggilan ke layanan darurat.
Masalah berulang jika operator mencoba mengirim ulang pesan atau jika isinya tetap dalam antrean dan diproses kembali. HDblog melaporkan bahwa 20 pesan sudah cukup untuk memicu siklus restart. Pada perangkat dengan Android 12, ponsel masuk ke mode pemulihan sekitar setiap 90 detik.
Untuk bisa digunakan kembali, diperlukan factory reset. Peneliti juga menjelaskan prosedur melalui ADB untuk menghapus pesan bermasalah, tetapi prosedur ini membutuhkan komputer dan keahlian teknis.
Apakah ada data yang berisiko?
Tidak, menurut DDay. Celah ini tidak memungkinkan pencurian kata sandi, foto, atau data pribadi lainnya. Ini adalah serangan denial of service yang menargetkan konektivitas seluler.
Masih menurut DDay, belum ada kampanye berskala besar yang teridentifikasi memanfaatkannya. Peneliti melaporkannya ke Google pada 5 Mei dan mempublikasikan detailnya pada 29 Oktober, setelah berhasil mereproduksi serangan pada Google Pixel dan Samsung Galaxy.
Siapa yang terlindungi dan siapa yang masih rentan?
Perbaikannya, menurut rekonstruksi peneliti, dibuat pada Juni dan didistribusikan bersama pembaruan Oktober untuk Android 14 hingga 17. Untuk Pixel yang masih didukung, level patchnya adalah 5 Oktober 2026.
Android 12 dan 13 mengandung kode yang rentan, tetapi perbaikannya belum didistribusikan karena sistem tersebut sudah tidak didukung. Siapa pun yang masih menggunakannya tanpa pembaruan dari produsen berada dalam posisi rentan. Punto Informatico mencatat bahwa pembaruan ini baru mencapai sedikit perangkat. Gambaran ini mengingatkan pada data lambatnya penyebaran Android 17.
Keterbatasan yang perlu diketahui
Kode CVE-2026-58882 tidak muncul secara eksplisit dalam buletin keamanan Android bulan Oktober, yang justru mencantumkan celah DoS lain pada framework. Tanggal perbaikan dan perlindungan perangkat yang sudah ditambal berasal dari rekonstruksi peneliti, bukan konfirmasi Google dalam sumber yang ada. Kami tidak tahu berapa banyak ponsel yang benar-benar terdampak atau apakah sudah ada serangan yang ditargetkan.
Dampaknya bagi yang bekerja di bidang digital
Bagi perusahaan yang memberikan ponsel kepada karyawan, risikonya adalah terputusnya panggilan dan ketersediaan, bukan kebocoran data. Sebaiknya ketahui model dan versi Android apa saja yang digunakan. Perangkat dengan Android 12 atau 13 harus dianggap rentan selama belum ditambal. Pengelolaan patch tidak hanya berlaku untuk ponsel, disiplin yang sama juga dibutuhkan untuk situs web, seperti yang kami jelaskan saat membahas pemantauan CVE.
Pendapat kami
Kasus ini menunjukkan keterbatasan Android yang sudah lama ada. Perbaikannya sudah tersedia selama berbulan-bulan, tetapi keunggulan pengembangnya hilang jika produsen tidak mendistribusikannya atau jika ponsel sudah tidak didukung. Yang juga mengganggu adalah identifikasinya tidak ada dalam buletin Oktober, detail yang mempersulit pemeriksaan status perangkat. Risikonya terbatas, tetapi karena menyentuh panggilan darurat, masalah ini tetap serius.
Pertanyaan yang sering diajukan
Apakah aku harus membuka SMS agar terkena serangan?
Tidak. Celah ini aktif saat sistem memproses pesan. Kamu tidak perlu membukanya, menyentuh tautan, atau mengunduh lampiran.
Apakah SMS of Death mencuri data pribadiku?
Tidak. Menurut DDay, celah ini tidak memungkinkan pencurian kata sandi, foto, atau data pribadi. Tujuannya adalah menghentikan fungsi ponsel, terutama konektivitas seluler.
Versi Android mana saja yang terlindungi?
Android 14, 15, 16, dan 17 dengan patch Oktober, menurut peneliti. Android 12 dan 13 mengandung kode yang rentan dan tidak menerima perbaikan.
Apa yang harus kulakukan jika ponselku bootloop?
Factory reset akan berhasil, tetapi menghapus datamu. Alternatifnya adalah prosedur ADB untuk menghapus pesan bermasalah, yang membutuhkan komputer dan keahlian teknis.
Apakah panggilan darurat juga terputus?
Ya. Sumber melaporkan bahwa crash memutus panggilan yang sedang berlangsung, termasuk ke layanan darurat. Satu kali crash hanya berlangsung beberapa detik.
Hal yang perlu dipantau dalam beberapa minggu ke depan terkait patch Android
Semuanya bergantung pada pembaruan yang benar-benar sampai ke ponsel. Ada beberapa sinyal yang sebaiknya kamu pantau.
- Periksa apakah ponsel yang sudah diperbarui menampilkan level patch Oktober atau yang lebih baru.
- Pantau apakah Google memasukkan CVE-2026-58882 ke dalam buletin keamanannya.
- Ganti atau isolasi perangkat dengan Android 12 dan 13 yang tidak lagi menerima pembaruan.
