Android platformunda keşfedilen SMS of Death açığı, tek bir mesaj yoluyla telefonun arama sistemini devre dışı bırakabiliyor. Kullanıcının herhangi bir işlem yapmasına gerek kalmadan, saldırgan uzaktan cihazı etkisiz hale getirebiliyor.
Bir senaryoyu göz önünde bulundurun: 911’i arıyorsunuz ve aniden görüşme kesiliyor. Ne sinyal kaybı yaşandı ne de herhangi bir tuşa bastınız. Ancak arka planda gelen bir mesaj, arama hizmetinizi çökertmiş olabilir.
SMS of Death Nasıl İşliyor?
Açığı keşfeden güvenlik araştırmacısı Mark Blaszczyk, saldırının Android’in işlemekte zorlandığı özel olarak hazırlanmış bir mesajdan kaynaklandığını belirtiyor. Bu mesaj, gelen kutusuna düşmüyor; dolayısıyla şüpheli bildirimler veya tanımadığınız göndericilerle karşılaşmıyorsunuz.
Mesaj, arama sistemini etkileyerek mevcut görüşmeleri kesiyor; ayrıca acil hizmetlerle yapılan aramalar da bu durumdan olumsuz etkileniyor. Asıl sorun ise Android’in aynı mesajı sürekli işlemeye çalışmasıdır.
Blaszczyk’e göre, yaklaşık 20 mesaj telefona neredeyse kullanılamaz bir durum kazandırabiliyor. Cihaz ayrıca sürekli yeniden başlatma döngüsüne girebiliyor. Eğer operatör bu mesajları tekrar gönderirse, fabrika ayarlarına dönmek bile kalıcı bir çözüm sunmayabilir.
Cihazın sıfırlanmasını engellemek için telefonu bilgisayara bağlayıp mesajları manuel olarak silmek gerekebiliyor. Ancak sıradan kullanıcılar için bu yöntem oldukça pratik değil; bu nedenle teknik bilgiye sahip olmayanlar için durum ciddi bir sorun oluşturuyor.
Hangi Cihazlar Etkileniyor?
Araştırmacı, SMS of Death açığını Google Pixel ve Samsung Galaxy modellerinde başarıyla test etti. Açığa sebep olan kod Android 12’ye kadar uzanıyor fakat risk, cihazın güncellemeleri alıp almadığına bağlı olarak değişiyor. Dolayısıyla güvenlik güncellemesi almayan eski Android sürümleri tehlikede olabilir.
Google’ın Yaması Ne Zaman Gelecek?
Blaszczyk, Google’a 5 Mayıs’ta durumu bildirdi fakat şirket durumu birkaç kez güvenlik sorunu olmadığı gerekçesiyle geçiştirdi. Bu nedenle araştırmacı, 29 Ekim’de açığı kamuoyuna duyurdu ve çalışan bir gösterim paylaştı.
Bu sırada Google çözüm üzerinde çalışıyordu; Android kod kayıtlarına göre düzeltme 15 Haziran’da tamamlanmıştı. Yeni yazılım hatayı yönetiyor ve sorunlu mesajı daha fazla zarar vermeden siliyor. Ayrıca GrapheneOS de düzeltmenin Temmuz ayında güvenlik önizlemeleriyle dağıtıldığını bildirdi.
Açık, CVE-2026-58882 kodu ile sınıflandırılıyor ve kritik önem arz ediyor. Düzeltmenin Kasım Android Güvenlik Bülteni’nde yer alması bekleniyor ancak Google henüz çelişkiyi açıklamamış durumda. İç iletişimdeki kopukluk ya da mükerrer raporlar bunun sebebi olabilir.
Blaszczyk’e göre Google düzeltmeyi Ekim güncellemeleri ile Android 14’ten 17’ye kadar olan sürümler için ekledi. Öte yandan GrapheneOS açığın Kasım bülteninde yer alacağını ifade ediyor ve düzeltmeyi Temmuz önizlemeleri ile aldıklarını belirtiyor. Ancak bu iki takvim arasında çelişki olması gerekmiyor çünkü üreticiler düzeltmeleri kamuya açık bültenden önce alabiliyorlar.
Düzeltmenin belirli cihazlara ulaşma süreci belirsizliğini koruyor. En güvenli yaklaşım ise telefonunuz için sunulan en son güvenlik güncellemesini yüklemek olacaktır. Kasım Android Güvenlik Bülteni’nde ise açığın resmi olarak listelenmesi beklenmektedir.
