Android’de ortaya çıkan SMS of Death açığı, tek bir iletiyle telefonun arama servisini çökertebiliyor. Üstelik kullanıcının hiçbir şey yapmasına gerek yok. Böylelikle saldırgan uzaktan, kurbanın haberi bile olmadan aygıtı devre dışı bırakabiliyor.

Şöyle düşünün: 911’i arıyorsunuz ve görüşme birden kopuyor. Üstelik sinyal gitmemiş, hiçbir tuşa da basmamışsınız. Lakin arka planda gelen bir ileti, arama servisini çökertmiş olabilir.

SMS of Death Nasıl Çalışıyor?

Açığı güvenlik araştırmacısı Mark Blaszczyk buldu. Hücum, Android‘in işlemekte zorlandığı özel hazırlanmış bir iletiye dayanıyor. Fakat bu ileti gelen kutusunda görünmüyor. Bu yüzden kuşkulu bir bildirim ya da tanımadığınız bir gönderici göremezsiniz.

Mesaj, aramaları yöneten sistemi çökertiyor. Süren görüşmeler çabucak kopuyor; üstelik acil servislerle yapılan aramalar da bundan etkileniyor. Ama asıl sorun bu değil, zira Android tıpkı bildirisi tekrar tekrar işlemeye çalışabiliyor.

Blaszczyk’e nazaran yaklaşık 20 bildiri, telefonu neredeyse kullanılamaz hâle getirebiliyor. Aygıt ayrıyeten daima tekrar başlayan bir döngüye, yani bootloop’a girebiliyor. Üstelik operatör tıpkı bildirileri tekrar gönderirse, fabrika ayarlarına dönmek bile kalıcı tahlil olmayabilir.

Telefonu sıfırlamadan kurtarmak için aygıtı bilgisayara bağlayıp bildirileri elle temizlemek gerekebiliyor. Lakin sıradan bir kullanıcı için bu pek gerçekçi bir yol değil. Münasebetiyle teknik bilgisi olmayanlar için sorun epey önemli.

Hangi Cihazlar Etkileniyor?

Araştırmacı, SMS of Death saldırısını Google Pixel ve Samsung Galaxy aygıtlarda muvaffakiyetle yine üretti. Açığa yol açan kod Android 12’ye kadar uzanıyor. Fakat risk, aygıtın düzeltmeyi alıp almadığına bağlı. Bu nedenle güvenlik güncellemesi almayan eski Android sürümleri açıkta kalabilir.

Google’ın Yaması Ne Zaman Gelecek?

Blaszczyk, Google’ı 5 Mayıs’ta bilgilendirdi. Lakin şirket raporu defalarca güvenlik sorunu olmadığı gerekçesiyle geçiştirdi. Bu yüzden araştırmacı, 29 Ekim’de açığı herkese duyurdu ve çalışan bir gösterim yayınladı.

Oysa Google bu sırada tahlil üzerinde çalışıyordu. Android kod kayıtlarına nazaran düzeltme 15 Haziran’da hazırdı. Ayrıyeten yeni yazılım yanılgıyı yönetiyor ve problemli bildirisi daha fazla ziyan vermeden siliyor. Öte yandan GrapheneOS, X’te düzeltmenin Temmuz’da güvenlik önizlemeleriyle dağıtıldığını belirtti.

Açık, CVE-2026-58882 koduyla takip ediliyor ve Kritik kıymet derecesi taşıyor. Ayrıyeten düzeltmenin Kasım Android Güvenlik Bülteni’ne girmesi bekleniyor. Fakat Google, çelişkiyi şimdi açıklamış değil. İç bağlantıdaki bir kopukluk, hatta yinelenmiş bir rapor, bunun sebebi olabilir.

Blaszczyk’e nazaran Google düzeltmeyi, Android 14’ten 17’ye kadar olan sürümler için Ekim güncellemelerine ekledi. Öte yandan GrapheneOS, açığın Kasım bülteninde yer alacağını söylüyor ve düzeltmeyi Temmuz önizlemeleriyle aldığını belirtiyor. Yeniden de bu iki takvim çelişmek zorunda değil. Zira üreticiler düzeltmeleri, kamuya açık bültenden evvel alabiliyor.

Düzeltmenin tek tek aygıtlara ulaşma takvimi meçhul. Bu sebeple en inançlı adım, telefonunuz için sunulan en son güvenlik güncellemesini yüklemek. Kasım Android Güvenlik Bülteni’nde ise açığın resmen listelenmesi bekleniyor.

Kaynak: Shiftdelete