Tek SMS'le Android telefonları çökerten açık: Android 12 ve 13'e yama gelmeyecek
Özel hazırlanmış tek bir SMS, Android'de telefon hizmetini çökertip acil aramaları bile kesebiliyor. Ekim 2026 yaması Android 14-17'yi koruyor; eski sürümler açıkta.
2 dk okuma
İçindekiler · 3 bölüm
Android’in telefon altyapısında bulunan ve “SMS of Death” adı verilen bir açık, yalnızca tek bir özel SMS ile cihazın hücresel bağlantısını kesebiliyor. Açığı bulan güvenlik araştırmacısı, teknik ayrıntıları 29 Ekim’de kamuoyuyla paylaştı ve bir kavram kanıtı (proof of concept) saldırı kodu yayımladı. Google’ın düzeltmesi Ekim 2026 güvenlik güncellemesiyle Android 14, 15, 16 ve 17’ye ulaştı; ancak araştırmacıya göre güvenlik güncellemesi desteği bitmiş Android 12 ve 13 cihazlar bu düzeltmeyi almayacak.
BleepingComputer’ın aktardığına göre açık CVE-2026-58882 numarasıyla izleniyor.
Açık nasıl çalışıyor
Sorun, Android’in WAP Push mesajlarını işleyen WapPushOverSms bileşenindeki bir doğrulama hatasından kaynaklanıyor. Araştırmacının analizine göre hatalı biçimlendirilmiş tek bir WAP Push SMS’i, cihazdaki hücresel işlevleri yöneten com.android.phone sürecini çökertiyor. Saldırı için kullanıcının mesajı açması ya da herhangi bir şeye dokunması gerekmiyor; mesaj ekranda da görünmüyor.
Çöküşün sonuçları ciddi:
- Hücresel bağlantı kesiliyor, süren aramalar düşüyor. Buna acil durum aramaları da dahil.
- Operatörler teslim edilemeyen mesajları yeniden gönderebildiği için telefon tekrar tekrar çökebiliyor.
- Araştırmacıya göre yaklaşık 20 mesaj, cihazı uzun süre kullanılamaz hale getirebiliyor; kuyrukta bekleyen mesaj açılışta yeniden işlenince cihaz yeniden başlatma döngüsüne girebiliyor.
BleepingComputer’ın denemesinde 20 mesaj, Android 12 çalıştıran bir cihazı yeniden başlatma döngüsüne soktu ve cihaz ancak fabrika ayarlarına döndürülerek kurtarılabildi.
Zaman çizelgesi
Araştırmacının paylaştığı bilgilere göre açık 5 Mayıs 2026’da Google’ın Android ve Cihazlar Güvenlik Açığı Ödül Programı’na bildirildi. “Fix remote DoS in decodeWapPdu” başlıklı düzeltme 15 Haziran’da Android kaynak koduna eklendi ve Ekim 2026 güvenlik sürümüyle cihazlara ulaştı. BleepingComputer, açığın Google’ın Ekim 2026 güvenlik bülteninde listelenmediğini de not ediyor.
Açığın gerçek saldırılarda kullanıldığına dair bir bilgi paylaşılmadı. Araştırmacının kavram kanıtı kodu ise GitHub’da herkese açık durumda.
Telefonunuz korunuyor mu
Araştırmacıya göre güvenlik yaması düzeyi Ekim 2026 ya da daha yeni olan cihazlar korunuyor. Yama düzeyini Ayarlar menüsünde, “Telefon hakkında” ya da “Güvenlik” bölümündeki Android güvenlik güncellemesi tarihinden kontrol edebilirsiniz. Tarih Ekim 2026’dan eskiyse cihaz üreticisinin sunduğu güncellemeleri yüklemek gerekiyor. Android 12 veya 13 çalıştıran ve daha yeni bir sürüme yükseltilemeyen cihazlar için ise araştırmacının açıklamasına göre bir düzeltme yayımlanmayacak.
