Nyilvánosságra hozták a halál SMS-ét, egyetlen üzenettel tönkretehetők az androidos mobilok
A kiberbiztonsági szakértők a legveszélyesebb kategóriába tartozó, úgynevezett „zero-click” sebezhetőséget fedeztek fel az androidos mobilok rendszerében. A „halál SMS-ének” nevezett hiba révén a támadók anélkül szakíthatják meg a hívásokat, bonthatják a mobilhálózatot vagy kényszeríthetik végtelen újraindulási hurokba a készülékeket, hogy a felhasználónak bármire rá kellene kattintania – kártékony üzenet még csak meg sem jelenik az értesítések között.
A digitális fenyegetések korában a felhasználók zöme már megtanulta az alapvető biztonsági szabályokat: nem kattintunk gyanús hivatkozásokra, nem nyitunk meg ismeretlen csatolmányokat, és nem telepítünk kétes forrásból származó alkalmazásokat. Mi történik azonban akkor, ha maga a puszta tény, hogy a telefonunk be van kapcsolva és csatlakozik a mobilhálózathoz, elegendő ahhoz, hogy egy támadó távolról megbénítsa a készülékünket? Pontosan ezt a forgatókönyvet valósítja meg a CVE-2026-58882 azonosító alatt nyilvántartott biztonsági rés.
Egyetlen üzenet padlóra küldheti a mobilt
A Mark Blah nevű kiberbiztonsági kutató által feltárt hiba egyetlen, speciálisan összeállított adatüzenettel képes működésképtelenné tenni a célba vett androidos okostelefonokat. A támadás teljesen láthatatlan: a rendszer a beérkező adatcsomagot még azelőtt feldolgozza a háttérben, hogy az elérné az SMS-fogadó alkalmazást, így az áldozat mobiljának kijelzőjén semmiféle értesítés vagy gyanús szöveg nem jelenik meg az összeomlás pillanatában.
A sebezhetőség gyökere az okostelefonok előtti korszakból ránk maradt, ma már szinte teljesen elfeledett WAP Push technológiában rejlik, amelyet az Android a kompatibilitás megőrzése miatt a mai napig támogat a háttérben. Amikor a támadó egy apró, szándékosan hibásan összerakott adatüzenetet küld a célpontnak, a telefon szoftvere egy banális ellenőrzési hiba miatt teljesen megzavarodik a feldolgozás során: az üzenet méretét egy lehetetlen, negatív számként próbálja értelmezni. Amikor a rendszer megkísérel memóriát elkülöníteni ennek a nem létező adatnak, azonnal végzetes hibát dob, ami magával rántja a háttérben futó teljes telefonos alrendszert.
Mivel pontosan ez a szoftveres folyamat felel a mobilhálózati kapcsolatért, a SIM-kártya kezeléséért és a hívások lebonyolításáért, a rendszerösszeomlás azonnal lekapcsolja a készüléket a hálózatról. Ha az áldozat éppen beszél valakivel – legyen szó akár a legfontosabb üzleti tárgyalásról, vagy ami még veszélyesebb: egy életmentő segélyhívásról a mentőkkel –, a vonal egyetlen másodperc alatt megszakad.
Súlyosbodó helyzet a hálózaton
A helyzetet tovább súlyosbítja a mobilhálózatok automatikus működése. Ha a telefon a hiba miatt ledobja magát a hálózatról, a szolgáltatói központok sikertelen kézbesítésként könyvelik el az üzenetet, így megpróbálhatják újra elküldeni azt a készülékre. A biztonsági kutató tesztjei megmutatták, hogy egy húsz darabos üzenethullám már képes teljesen térdre kényszeríteni a készüléket: a telefon egy agresszív újraindulási hurokba ragad, és nagyjából másfél percenként automatikusan a gyári helyreállítási képernyőre dobja magát.
Ebből az állapotból az átlagfelhasználó számára szinte az egyetlen kiút a teljes gyári visszaállítás, ami a készüléken tárolt összes személyes adat, fotó és beállítás elvesztésével jár. Bár létezik egy technikai kiskapu a kártékony üzenetek számítógépes eltávolítására speciális fejlesztői eszközökkel, ez a szintű hibaelhárítás egy laikus számára kivitelezhetetlen.
Van javítás, de milliók maradnak védtelenül
A Google azonnal felismerte a kockázat súlyát, és már el is készítette a szükséges biztonsági javítást, amely nemcsak megakadályozza a rendszer lefagyását a hibás adatok érkezésekor, de azonnal ki is takarítja a mérgező csomagokat az üzenet-adatbázisból. A javítócsomag a 2026. októberi biztonsági frissítéssel hivatalosan el is startolt az Android 14, 15, 16 és 17-es verziókra.
A gyártók és a Google által már magukra hagyott régebbi, Android 12-t és 13-at futtató készülékek ugyanakkor nem kapták meg a hibajavítást, így világszerte több tízmillió használatban lévő mobil marad teljesen kiszolgáltatva a támadásnak. A támogatott újabb modelleknél pedig a frissítés eljutása továbbra is a gyártók és a helyi mobilszolgáltatók jóváhagyási tempóján múlik.
