Ing. Calogero Bono
Tek bir manipüle edilmiş WAP Push mesajı, bir Android akıllı telefonun telefon hizmetini çökertebilir, aramaları kesebilir ve bazı durumlarda sürekli yeniden başlatmaya yol açabilir. Açığın adı CVE-2026-58882 ve araştırmacı Mark Blaszczyk tarafından 29 Ekim'de kamuoyuna duyuruldu. Hiçbir şeyi açman gerekmiyor ve Google'ın düzeltmesi tüm sürümleri kapsamıyor. Şirket telefonlarını yöneten biri için konu somut bir risk taşıyor.
Olayları anlamadan önce birkaç terim. CVE, bilinen bir güvenlik açığını benzersiz biçimde tanımlayan koddur. WAP Push, sistemin otomatik olarak işlediği ve SMS kutusunda görünmeyebilen bir mesaj türüdür. Denial of service, veri çalmak yerine cihazın çalışmasını engelleyen bir saldırı türüdür. Bootloop, sürekli yeniden başlatma döngüsüdür. ADB, bir Android telefonla bilgisayardan iletişim kurmaya yarayan araçtır.
SMS of Death nedir ve nasıl çalışır?
DDay'e göre açık, doğrudan Android'in telefon çerçevesi tarafından işlenen WAP Push mesajlarının yönetimiyle ilgili. Bozuk biçimlendirilmiş bir mesaj com.android.phone sürecini çökertir ve telefon kısa süreliğine hücresel ağ bağlantısını kaybeder.
Punto Informatico'nun aktardığına göre, değiştirilmiş başlık -2.147.483.648 değerli negatif bir sayı içeriyor ve bu bellek ayırma sırasında bir istisna üretiyor. Her şey mesaj kutuda görünmeden önce olduğu için mağdur şüpheli bir şey fark etmiyor.
Tek bir mesaj ne kadar zarar verebilir?
Tek bir çökme, Android telefon sürecini yeniden başlattığı için yalnızca birkaç saniye sürer. Ama o anda bir arama varsa, acil servis aramaları dahil, düşer.
Sorun, operatörün mesajı yeniden göndermeye çalışması ya da içeriğin kuyrukta kalıp yeniden işlenmesi durumunda tekrarlanır. HDblog, yeniden başlatma döngüsünü tetiklemek için 20 mesajın yeterli olduğunu bildiriyor. Android 12 çalıştıran bir cihazda telefon yaklaşık her 90 saniyede bir kurtarma moduna girmiş.
Telefonu yeniden kullanılabilir hale getirmek için fabrika ayarlarına dönmek gerekti. Araştırmacı ayrıca sorunlu mesajları silen bir ADB yöntemi tarif etti, ama bu bir bilgisayar ve teknik beceri gerektiriyor.
Veriler risk altında mı?
DDay'e göre hayır. Açık parola, fotoğraf ya da diğer kişisel verileri çalmaya izin vermiyor. Hücresel bağlantıyı hedef alan bir denial of service saldırısı.
Yine DDay'e göre, şimdiye kadar bunu kullanan geniş ölçekli bir kampanya tespit edilmedi. Araştırmacı açığı 5 Mayıs'ta Google'a bildirdi ve Google Pixel ile Samsung Galaxy üzerinde saldırıyı yeniden üretmesinin ardından ayrıntıları 29 Ekim'de yayımladı.
Kim korunuyor, kim açıkta kalıyor?
Araştırmacının aktarımına göre düzeltme Haziran'da geliştirildi ve Ekim güncellemeleriyle Android 14'ten 17'ye kadar dağıtıldı. Hâlâ destek alan Pixel'lerde güvenlik yaması seviyesi 5 Ekim 2026.
Android 12 ve 13 savunmasız kodu içeriyor, ancak bu sistemler destek dışı olduğu için düzeltme dağıtılmadı. Üreticiden güncelleme almayan cihazlar açıkta kalıyor. Punto Informatico, güncellemeye ulaşan cihaz sayısının az olduğunu not ediyor. Bu tablo, Android 17'nin yavaş yayılımına dair verileri akla getiriyor.
Bilmen gereken sınırlar
CVE-2026-58882 kodu, Ekim ayı Android güvenlik bülteninde açıkça yer almıyor; bu bültende çerçevenin başka DoS açıkları listelenmiş olsa da. Düzeltme tarihi ve yamalı cihazların korunması, kaynaklarda Google'ın teyidinden değil araştırmacının aktarımından geliyor. Kaç telefonun gerçekten etkilendiğini ya da hedefli istismar olup olmadığını bilmiyoruz.
Dijitalle çalışanlar için ne değişiyor
Çalışanlara telefon veren bir şirket için risk veri sızıntısı değil, aramaların ve ulaşılabilirliğin kesilmesidir. Hangi modellerin ve Android sürümlerinin kullanıldığını bilmek önemlidir. Android 12 veya 13 çalıştıran cihazlar, yama gelene kadar açıkta sayılmalıdır. Yama yönetimi yalnızca telefonlar için geçerli değildir; aynı disiplin web siteleri için de gerekir, bunu CVE takibi üzerine yazdığımızda anlatmıştık.
Bizim görüşümüz
Vaka, Android'in tarihsel sınırını gösteriyor. Düzeltme aylardır var, ama üreticiler dağıtmazsa ya da telefon destek dışına çıkmışsa bu değer kayboluyor. Açığın Ekim bülteninde yer almaması da işi zorlaştırıyor, çünkü cihazların durumunu kontrol etmek isteyenler için karmaşık bir tablo oluşturuyor. Risk sınırlı, ancak acil aramaları etkilediği için ciddiye alınmalı.
Sık sorulan sorular
Etkilenmek için SMS'i açmam gerekir mi?
Hayır. Açık, mesajın sistem tarafından işlenmesi sırasında tetiklenir. Mesajı açmana, bağlantıya dokunmana ya da ek indirmene gerek yok.
SMS of Death verilerimi çalar mı?
Hayır. DDay'e göre parola, fotoğraf ya da kişisel verileri çalmaya izin vermiyor. Amacı telefonun çalışmasını engellemek, özellikle hücresel bağlantıyı kesmek.
Hangi Android sürümleri korunuyor?
Araştırmacıya göre Ekim yamasıyla Android 14, 15, 16 ve 17. Android 12 ve 13 savunmasız kodu içeriyor ve düzeltmeyi almadı.
Telefon bootloop'a girerse ne yapmalıyım?
Fabrika ayarlarına dönmek işe yarar, ancak verileri siler. Alternatif olarak sorunlu mesajları silen bir ADB yöntemi var; bu bir bilgisayar ve teknik bilgi gerektirir.
Acil çağrılar da düşüyor mu?
Evet. Kaynaklar, çökmenin devam eden aramaları, acil servis aramaları dahil, kestiğini bildiriyor. Tek bir çökme yalnızca birkaç saniye sürüyor.
Önümüzdeki haftalarda Android yamalarında nelere bakmalı
Asıl mesele, telefonlara gerçekten ulaşan güncellemeler. Birkaç işarete dikkat etmekte fayda var.
- Güncellenmiş telefonların Ekim veya daha yeni yama seviyesini gösterdiğini kontrol et.
- Google'ın CVE-2026-58882 kodunu güvenlik bültenlerine ekleyip eklemediğini takip et.
- Artık güncelleme almayan Android 12 ve 13 cihazlarını değiştir ya da ağdan izole et.
