- Manipulirana WAP Push SMS poruka može blokirati Android telefoniju bez da korisnik išta dodirne.
- Ranjivost CVE-2026-58882 utječe na verzije Androida od 12 do 17 i uzrokuje prekide poziva, gubitak pokrivenosti i petlje ponovnog pokretanja.
- Listopadski ispravak pokriva Android 14 do 17; Android 12 i 13 ostaju ranjivi bez proizvođačke zakrpe.
- To je uskraćivanje usluge, a ne krađa podataka, i zahtijeva poznavanje broja i mogućnost slanja poruka s neobrađenim podacima.
Jedna tekstualna poruka može biti dovoljna da Android telefon ostane bez signala, a u najtežim slučajevima i zarobljen u petlji ponovnog pokretanja. Prijetnja je nazvana "SMS smrti" i ne zahtijeva od korisnika da klikne bilo kakve poveznice, otvori bilo koju aplikaciju ili preuzme bilo kakve datoteke: uređaj automatski obrađuje poruku, a šteta nastaje bez upozorenja.
Ranjivost utječe na telefonsku komponentu sustava, tako da nije ograničena na određenu marku . Dodijeljen joj je identifikator CVE-2026-58882 i povezana je s WAP Push porukama, starijim formatom koji može sadržavati poveznicu i upute telefonu za obradu nečega u pozadini. Operateri su ga koristili za slanje postavki i još uvijek je prisutan u mnogim telefonima.
Napad bez klika koji prekida pozive
Ključno je da se poruka ne mora nužno pojaviti u pristigloj pošti ili tražiti potvrdu. Kada stigne, Android je pokušava obraditi, a neispravno oblikovana poruka može uzrokovati da sustav pokuša rezervirati nemoguću količinu memorije. To blokira proces koji upravlja mobilnim signalom i pozivima, pa se tekući poziv prekida i ne mogu se pokrenuti drugi pozivi, uključujući one prema hitnim službama.
Svaka poruka može ostaviti korisnika bez usluge sekundu ili dvije, ali prava šteta nastaje ponavljanjem. U kontroliranim testovima, jedna poruka uzrokovala je povremene prekide u radu i do tjedan dana, a nekoliko uzastopnih poruka pojačalo je problem, čineći telefon neupotrebljivim . Operater može ponovno poslati poruke koje telefon nije potvrdio, produžujući učinak. S dvadesetak manipuliranih poruka, uređaj se može zaglaviti u petlji ponovnog pokretanja s jedva dovoljno vremena za reakciju.
Koje su verzije izložene i kakvu ulogu igra zakrpa
Ranjivost utječe na različite verzije Androida, od Androida 12 do Androida 17. Ispravak je uključen u listopadsko sigurnosno ažuriranje za verzije Androida od 14 do 17 , ali uređaji koji još uvijek koriste Android 12 ili 13 nisu ga primili. Stoga, čak i ako telefon normalno upućuje pozive, nema jamstva da će ih moći održati ili prekinuti ako primi poruku osmišljenu za iskorištavanje ranjivosti.
Zakrpa ne uklanja WAP Push format niti mijenja normalan rad telefona: sprječava rušenje i uklanja problematičnu poruku kako se više ne bi pokrenula. Prema javnoj analizi ranjivosti, Google nije dodao provjeru duljine koju je istraživač predložio. U praksi, zaštita ovisi o stvarnom datumu zakrpe , a ne samo o verziji Androida prikazanoj u postavkama.
Proizvođači, operateri i ažuriranja koja ne stižu uvijek
Sigurnosne zakrpe ne dolaze do svih uređaja istom brzinom. Samsung, Motorola, Xiaomi i drugi proizvođači distribuiraju ažuriranja prema vlastitim rasporedima, a operateri mogu odgoditi njihovo uvođenje. To znači da telefon s novijom verzijom Androida možda još uvijek čeka na ispravku, dok stariji možda više neće primati podršku. Ranjivost leži u uobičajenom telefonskom kodu, tako da jednostavna promjena marke neće riješiti problem.
Testovi su također replicirali pad sustava na Google Pixelu i nekoliko Samsung Galaxy telefona, uključujući modele A serije koji još nisu primili zakrpu. Kada se zlonamjerna poruka stavi u red čekanja, ponovno se obrađuje svaki put kada se telefon pokrene . Jedan Android 12 uređaj čak se ponovno pokrenuo u način rada za oporavak otprilike svakih 90 sekundi, petlju koju tipičan korisnik može izbjeći samo vraćanjem na tvorničke postavke, što dovodi do gubitka podataka. Postoji način za brisanje samo problematičnih poruka, ali to zahtijeva računalo, omogućavanje USB ispravljanja pogrešaka i djelovanje unutar kratkog prozora nakon svakog ponovnog pokretanja.
Što napad može, a što ne može učiniti
Važno je ne pretjerivati s prijetnjom. To je napad uskraćivanjem usluge: poruka ne može čitati podatke, instalirati programe ili preuzeti kontrolu nad telefonom . Napadač mora znati broj telefona žrtve i imati način slanja poruka s neobrađenim podacima. Objavljeni alat šalje te poruke s drugog Android uređaja sa SIM karticom, tako da operater može ostaviti trag prijenosa.
Istraživač je objavio dokaz koncepta i cjeloviti izvorni kod na GitHubu; međutim, nisu se pojavila izvješća koja opisuju njegovu upotrebu protiv stvarnih ljudi. Sigurnosni bilten za listopad ne uključuje jasnu referencu na rješenje, pa mnogi vlasnici starijih telefona nisu primili službeno upozorenje . Rizik postoji, ali nije isto što i špijuniranje ili krađa podataka: glavna šteta je onesposobljavanje telefona i, u najgorem slučaju, prisilno vraćanje na tvorničke postavke.
Kako znati je li vaš mobilni telefon ažuriran
Provjera je jednostavna: idite u Postavke, potražite O telefonu ili Sigurnost i provjerite datum sigurnosnog ažuriranja za Android. Ažuriranja od listopada nadalje uključuju ispravak za kompatibilne verzije. Ako je vaš uređaj zaglavio na Androidu 12 ili 13, jedina potpuna zaštita je prelazak na uređaj koji i dalje prima zakrpe ; blokiranje nepoznatih brojeva ili izbjegavanje otvaranja poveznica neće riješiti ovaj problem jer se poruka obrađuje u pozadini.
Istraživač koji je dokumentirao ranjivost prijavio ju je programu za nagrađivanje korisnika Android bug 5. svibnja. Googleov inženjer napisao je ispravak sredinom lipnja, a stigao je s listopadskim ažuriranjem za Android 14 do 17. Javna analiza i dokaz koncepta objavljeni su kasnije, 29. listopada. Vrijeme između obavijesti i objavljivanja objašnjava zašto su neki stariji uređaji izostavljeni.
"SMS smrti" je ranjivost uskraćivanja usluge (denial-of-service error) u Android telefonima koja se aktivira manipuliranom WAP Push porukom, bez ikakvih fizičkih modifikacija. Uređaji s Androidom 12 i 13 ostaju ranjivi ako nisu primili zakrpu, dok listopadska ispravka pokriva Android od 14 do 17. Iako široko rasprostranjena upotreba protiv stvarnih korisnika nije dokumentirana, preporučljivo je provjeriti datum sigurnosti vašeg telefona i, ako više nije podržan, razmisliti o zamjeni uređaja.
