Öne çıkanlar
- Tek bir zararlı SMS ile telefonun hücresel bağlantısı kesilebiliyor.
- Açık Google Pixel ve Samsung Galaxy modellerinde doğrulandı.
- Android 12 ve 13 kullanıcıları için resmi bir yama bulunmuyor.
SMS of Death Açığı Nasıl Çalışıyor ve Sistemi Nasıl Hedef Alıyor?
Akıllı telefon kullanıcılarını tehdit eden yeni bir güvenlik zafiyeti, mobil cihazların mesaj işleme altyapısında önemli bir kusur bulunduğunu gözler önüne serdi. Kötü niyetli kişilerin özel olarak biçimlendirdikleri kısa mesajlar vasıtasıyla iletişim servislerini devre dışı bırakabildiği SMS of Death yöntemi, telefonların hücresel bağlantı kurmasını tamamen engelleyebiliyor. Söz konusu durumun, doğrudan mesaj verilerini işleyen sistemin içinde yer aldığı güvenlik araştırmacısı Mark Blaszczyk tarafından fark edildiği bildirildi. Telekomünikasyon operatörlerin cihazlara servis mesajları göndermesine olanak tanıyan WAP Push mekanizması üzerinden arka planda işlenen veriler, bu hatanın ortaya çıkmasına zemin hazırlıyor.
Yaşanan problem, ilgili sistem bileşenindeki veri işleme kusurundan kaynaklanıyor. Başlık uzunluğu hesaplanırken meydana gelen bu hata, com.android.phone işleminin çökmesine yol açarak hücresel bağlantının aniden kopmasına neden oluyor. Saldırının gerçekleşmesi için hedefin telefon numarasının bilinmesi yeterli bulunuyor. Kullanıcının gelen mesajı açması, herhangi bir internet bağlantısına tıklaması ya da bir dosya indirmesi gerekmiyor. Üstelik zararlı mesaj gelen kutusunda görünmüyor, herhangi bir uyarı üretmiyor ve gönderen taraf tamamen gizli kalıyor.
Hangi Cihazlar Risk Altında ve Telefonları Nasıl Etkiliyor?
Ortaya çıkan bu açık, kullanıcıların telefonlarını olağan şekilde idare etmesini neredeyse imkansız hale getiriyor. Gelen her zararlı mesaj telefon hizmetinde bir ila iki saniyelik kesinti yaratırken, süregiden görüşmeler ve acil yardım aramaları bile bu kesintiden etkilenerek sonlanıyor. Bekleyen mesaj kuyruğunda tutulan iletiler, cihaz yeniden başlatıldığında tekrar işlenerek çökmeyi yineliyor. Mobil operatörlerin iletilmeyen mesajları otomatik olarak yeniden göndermesi ise sorunu daha da uzatıyor. Tek bir zararlı mesaj bir haftaya kadar aralıklı kesinti oluşturabilirken, iddiaya göre yaklaşık 20 zararlı mesajın gönderilmesi telefonun uzun süre kullanılamaz hale gelmesine neden oluyor. Bu süreçte cihaz, sürekli çöken sistemleri kurtarma moduna yönlendiren kurtarma mekanizmasını tetikleyebiliyor.
Android 12 üzerinde yapılan testlerde cihazın yaklaşık 90 saniyelik aralıklarla sürekli kurtarma sürecine girdiği gözlemlendi. Bu durumdan kurtulmanın tek yolu, bilgisayar üzerinden cihaza komut gönderilmesini sağlayan hata ayıklama aracı yardımıyla SMS kuyruğunun temizlenmesi olarak öne çıkıyor. Fabrika ayarlarına dönmek kişisel verilerin silinmesine yol açıyor ve operatör mesajı yeniden gönderirse sorun tekrarlanabiliyor. Zafiyet; Nisan 2026 güvenlik yazılımını kullanan Pixel 9 ile Samsung Galaxy ve Galaxy A serisi modellerinde doğrulandı. Güvenlik düzeltmesi almamış diğer Android cihazların da risk altında olduğu belirtiliyor.
Güncellemeler ve Kapatılmayan Açıklar İçin Son Durum
Güvenlik araştırmacısı Mark Blaszczyk, keşfettiği açığı 5 Mayıs 2026 tarihinde Google ekibine iletti. Ancak şirketin bildirim programı sorunu başlangıçta kapsam dışı değerlendirip kapattı. Bunun üzerine araştırmacı, teknik ayrıntıları ve saldırı örneğini 29 Ekim 2026’da kamuoyuyla paylaştı. Süreç devam ederken Google’ın Android mühendisleri, 15 Haziran 2026’da sorunu gideren bir yazılım düzeltmesi hazırladı. Güncellenen kod, çalışma zamanı hatalarını karşılıyor ve sorunlu mesajı kuyruktan kaldırıyor.
Hazırlanan düzeltmeler temmuz ayında üreticilere sunulan önizleme paketlerine eklendi ve Android 14 ve sonrası için Ekim 2026 güncellemeleriyle dağıtılmaya başlandı. Android 14, 15, 16 ve 17 sürümleri için düzeltmeler hazırlanırken, Android 12 ve Android 13 için herhangi bir resmi düzeltme yayımlanmadı. Bu durum, Android 12 ve 13 kullanan ve resmi güncelleme almayan telefonlar için ortada bir çözüm bulunmadığı anlamına geliyor. Ayrıca Android 14 veya daha yeni bir sürüm kullanmak da tek başına açığın kapandığı anlamına gelmiyor; kullanıcıların Ayarlar menüsünden yama seviyesini kontrol etmesi gerekiyor. Öte yandan, güvenlik açığının takip numarası olan CVE-2026-58882 kaydının ekim bülteninde neden yer almadığı henüz netlik kazanmazken, kasım bülteline dahil edilmesi bekleniyor.
