Android’de ortaya çıkan SMS of Death açığı, tek bir mesajla telefonun arama servisini çökertebiliyor. Üstelik kullanıcının hiçbir şey yapmasına gerek yok. Böylece saldırgan uzaktan, kurbanın haberi bile olmadan cihazı devre dışı bırakabiliyor.
Şöyle düşünün: 911’i arıyorsunuz ve görüşme birden kopuyor. Üstelik sinyal gitmemiş, hiçbir tuşa da basmamışsınız. Ancak arka planda gelen bir mesaj, arama servisini çökertmiş olabilir.
SMS of Death Nasıl Çalışıyor?
Açığı güvenlik araştırmacısı Mark Blaszczyk buldu. Saldırı, Android‘in işlemekte zorlandığı özel hazırlanmış bir mesaja dayanıyor. Ancak bu mesaj gelen kutusunda görünmüyor. Bu yüzden şüpheli bir bildirim ya da tanımadığınız bir gönderici göremezsiniz.
Mesaj, aramaları yöneten sistemi çökertiyor. Süren görüşmeler hemen kopuyor; üstelik acil servislerle yapılan aramalar da bundan etkileniyor. Fakat asıl sorun bu değil, çünkü Android aynı mesajı tekrar tekrar işlemeye çalışabiliyor.
Blaszczyk’e göre yaklaşık 20 mesaj, telefonu neredeyse kullanılamaz hâle getirebiliyor. Cihaz ayrıca sürekli yeniden başlayan bir döngüye, yani bootloop’a girebiliyor. Üstelik operatör aynı mesajları yeniden gönderirse, fabrika ayarlarına dönmek bile kalıcı çözüm olmayabilir.
Telefonu sıfırlamadan kurtarmak için cihazı bilgisayara bağlayıp mesajları elle temizlemek gerekebiliyor. Ancak sıradan bir kullanıcı için bu pek gerçekçi bir yol değil. Dolayısıyla teknik bilgisi olmayanlar için sorun oldukça ciddi.
Hangi Cihazlar Etkileniyor?
Araştırmacı, SMS of Death saldırısını Google Pixel ve Samsung Galaxy cihazlarda başarıyla yeniden üretti. Açığa yol açan kod Android 12’ye kadar uzanıyor. Ancak risk, cihazın düzeltmeyi alıp almadığına bağlı. Bu nedenle güvenlik güncellemesi almayan eski Android sürümleri açıkta kalabilir.
Google’ın Yaması Ne Zaman Gelecek?
Blaszczyk, Google’ı 5 Mayıs’ta bilgilendirdi. Ancak şirket raporu defalarca güvenlik sorunu olmadığı gerekçesiyle geçiştirdi. Bu yüzden araştırmacı, 29 Ekim’de açığı herkese duyurdu ve çalışan bir gösterim yayınladı.
Oysa Google bu sırada çözüm üzerinde çalışıyordu. Android kod kayıtlarına göre düzeltme 15 Haziran’da hazırdı. Ayrıca yeni yazılım hatayı yönetiyor ve sorunlu mesajı daha fazla zarar vermeden siliyor. Öte yandan GrapheneOS, X’te düzeltmenin Temmuz’da güvenlik önizlemeleriyle dağıtıldığını belirtti.
Açık, CVE-2026-58882 koduyla takip ediliyor ve Kritik önem derecesi taşıyor. Ayrıca düzeltmenin Kasım Android Güvenlik Bülteni’ne girmesi bekleniyor. Ancak Google, çelişkiyi henüz açıklamış değil. İç iletişimdeki bir kopukluk, hatta mükerrer bir rapor, bunun nedeni olabilir.
Blaszczyk’e göre Google düzeltmeyi, Android 14’ten 17’ye kadar olan sürümler için Ekim güncellemelerine ekledi. Öte yandan GrapheneOS, açığın Kasım bülteninde yer alacağını söylüyor ve düzeltmeyi Temmuz önizlemeleriyle aldığını belirtiyor. Yine de bu iki takvim çelişmek zorunda değil. Çünkü üreticiler düzeltmeleri, kamuya açık bültenden önce alabiliyor.
Düzeltmenin tek tek cihazlara ulaşma takvimi belirsiz. Bu nedenle en güvenli adım, telefonunuz için sunulan en son güvenlik güncellemesini yüklemek. Kasım Android Güvenlik Bülteni’nde ise açığın resmen listelenmesi bekleniyor.
