Android: Το «SMS of Death» ρίχνει κινητά χωρίς άνοιγμα μηνύματος

Μια ευπάθεια στο Android επέτρεπε σε ειδικά διαμορφωμένο SMS να ρίξει τη σύνδεση κινητής τηλεφωνίας, να διακόψει κλήσεις και, με επαναλαμβανόμενα μηνύματα, να οδηγήσει τη συσκευή σε αδιάκοπες επανεκκινήσεις. Το μήνυμα δεν χρειαζόταν καν να ανοιχτεί: η επίθεση ήταν «zero-click», δηλαδή μπορούσε να ενεργοποιηθεί χωρίς καμία ενέργεια από τον παραλήπτη. Η Google διόρθωσε το πρόβλημα σε νεότερες εκδόσεις, αλλά όχι σε συσκευές που έχουν φτάσει στο τέλος της υποστήριξής τους.

Η ευπάθεια καταγράφεται ως CVE-2026-58882 και χαρακτηρίζεται κρίσιμης σοβαρότητας. Την εντόπισε ο ερευνητής ασφάλειας Mark Blah, ενώ το παρατσούκλι «SMS of Death» περιγράφει εύστοχα το αποτέλεσμα: ένα μήνυμα αρκούσε για να προκαλέσει κατάρρευση της διαδικασίας που χειρίζεται τις λειτουργίες κινητής τηλεφωνίας. Σε ένα καθημερινό σενάριο, αυτό θα μπορούσε να σημαίνει ότι μια κλήση κόβεται ξαφνικά και η σύνδεση χάνεται χωρίς προειδοποίηση.

Η τεχνική αφετηρία ήταν ένα κακοσχηματισμένο μήνυμα WAP Push οκτώ byte, που αποστέλλεται στη θύρα 2948 της συσκευής. Το Android επιχειρούσε να επεξεργαστεί μια μη έγκυρη τιμή μήκους κεφαλίδας και μπορούσε να καταλήξει σε σφάλμα NegativeArraySizeException, καταρρίπτοντας τη διεργασία com.android.phone. Επειδή αυτή διαχειρίζεται την κινητή τηλεφωνία, η συνέπεια δεν περιοριζόταν σε μια εφαρμογή που κλείνει: επηρεαζόταν η ίδια η συνδεσιμότητα.

Διαβάστε επίσης: Google Gemini: Νέο design σε όλες τις Android συσκευές

Η επίθεση μπορούσε να κλιμακωθεί. Σύμφωνα με την περιγραφή του ευρήματος, 20 ή περισσότερα μηνύματα ήταν αρκετά για να προκαλέσουν επαναλαμβανόμενες επανεκκινήσεις. Σε συσκευή με Android 12, η συνέπεια μπορούσε να είναι επαναλαμβανόμενη είσοδος σε λειτουργία ανάκτησης, με επαναφορά εργοστασιακών ρυθμίσεων ως μόνη πρακτική λύση. Η αναφορά σημειώνει επίσης πιθανό αντίκτυπο στην επικοινωνία με υπηρεσίες έκτακτης ανάγκης, κάτι που κάνει τη διακοπή σύνδεσης σοβαρότερη από μια απλή ενόχληση.

Η Google διόρθωσε το σφάλμα στις ενημερώσεις ασφαλείας του Οκτωβρίου 2026 για Android 14 έως Android 17. Η αλλαγή, με τίτλο «Fix remote DoS in decodeWapPdu», προβλέπει χειρισμό των εξαιρέσεων που προκαλούν τα κακοσχηματισμένα μηνύματα και διαγραφή τους από τη βάση SMS, ώστε να μην πυροδοτούν ξανά την κατάρρευση. Αυτό όμως δεν σημαίνει ότι κάθε συσκευή με Android έχει ήδη λάβει την ενημέρωση: οι κατασκευαστές ακολουθούν διαφορετικά χρονοδιαγράμματα διάθεσης.

Το σημαντικότερο κενό αφορά τα παλαιότερα κινητά που δεν υποστηρίζονται πλέον. Η αρχική περιγραφή αναφέρει ότι επηρεάζονταν όλες οι εκδόσεις Android, αλλά η διόρθωση καλύπτει τις εκδόσεις 14 έως 17· συσκευές εκτός υποστήριξης δεν πρόκειται να λάβουν επίσημο patch και παραμένουν εκτεθειμένες. Η κυκλοφορία της ενημέρωσης από την Google, επομένως, δεν αρκεί από μόνη της: χρειάζεται να έχει φτάσει και να έχει εγκατασταθεί στη συγκεκριμένη συσκευή.

Ο ερευνητής δημοσίευσε proof of concept, κάνοντας γνωστό τον τρόπο εκμετάλλευσης. Υπάρχει επίσης τεχνική μέθοδος αφαίρεσης του κακόβουλου μηνύματος μέσω υπολογιστή και Android Debug Bridge, όμως απαιτεί περισσότερες τεχνικές γνώσεις από όσες διαθέτει συνήθως ένας κάτοχος κινητού. Η πρακτική κίνηση για τις υποστηριζόμενες συσκευές είναι να εγκατασταθούν οι διαθέσιμες ενημερώσεις ασφαλείας· για ένα κινητό που έχει μείνει χωρίς υποστήριξη, η συγκεκριμένη ευπάθεια δεν έχει επίσημη διόρθωση.

Η σύνταξη του άρθρου υποστηρίχθηκε από εργαλεία AI και το περιεχόμενο ελέγχθηκε σύμφωνα με τη συντακτική πολιτική του TechitNews.