- SMS WAP Push yang dimanipulasi dapat memblokir telepon Android tanpa pengguna perlu melakukan apa pun.
- Kerentanan CVE-2026-58882 memengaruhi versi Android 12 hingga Android 17 dan menyebabkan panggilan terputus, hilangnya jangkauan, dan pengulangan reboot.
- Perbaikan bulan Oktober mencakup Android 14 hingga 17; Android 12 dan 13 tetap rentan tanpa patch dari produsen.
- Ini adalah serangan penolakan layanan, bukan pencurian data, dan membutuhkan pengetahuan tentang nomor tersebut serta kemampuan untuk mengirim pesan data mentah.
Satu pesan teks saja sudah cukup untuk membuat ponsel Android kehilangan sinyal dan, dalam kasus yang paling parah, terjebak dalam siklus reboot. Ancaman ini dijuluki "SMS maut" dan tidak mengharuskan pengguna untuk mengklik tautan apa pun, membuka aplikasi apa pun, atau mengunduh file apa pun: perangkat memproses pesan secara otomatis, dan kerusakan terjadi tanpa peringatan.
Kerentanan ini memengaruhi komponen telepon pada sistem, jadi tidak terbatas pada merek tertentu . Kerentanan ini telah diberi pengidentifikasi CVE-2026-58882 dan terkait dengan pesan WAP Push, format lama yang dapat membawa tautan dan instruksi agar telepon memproses sesuatu di latar belakang. Operator seluler telah menggunakannya untuk mengirim pengaturan, dan masih ada di banyak telepon.
Serangan tanpa klik yang mengganggu panggilan
Intinya adalah pesan tersebut tidak selalu muncul di kotak masuk atau meminta konfirmasi. Saat tiba, Android mencoba memprosesnya, dan pesan yang salah format dapat menyebabkan sistem mencoba memesan memori dalam jumlah yang tidak mungkin. Hal ini memblokir proses yang mengelola sinyal seluler dan panggilan, sehingga panggilan yang sedang berlangsung terputus, dan panggilan lain, termasuk panggilan ke layanan darurat, tidak dapat dimulai.
Setiap pesan mungkin membuat pengguna kehilangan layanan selama satu atau dua detik, tetapi kerusakan sebenarnya terjadi jika pesan tersebut diulang. Dalam pengujian terkontrol, satu pesan menyebabkan gangguan sesekali hingga satu minggu, dan beberapa pesan berturut-turut memperburuk masalah, membuat ponsel tidak dapat digunakan . Operator dapat mengirim ulang pesan yang belum diakui oleh ponsel, sehingga memperpanjang dampaknya. Dengan sekitar dua puluh pesan yang dimanipulasi, perangkat dapat terjebak dalam siklus reboot tanpa cukup waktu untuk bereaksi.
Versi mana yang terekspos dan apa peran patch tersebut?
Kerentanan ini memengaruhi berbagai versi Android, dari Android 12 hingga Android 17. Perbaikan tersebut disertakan dalam pembaruan keamanan Oktober untuk versi Android 14 hingga 17 , tetapi perangkat yang masih menjalankan Android 12 atau 13 belum menerimanya. Oleh karena itu, meskipun ponsel dapat melakukan panggilan secara normal, tidak ada jaminan bahwa ponsel tersebut akan dapat mempertahankan atau mengakhiri panggilan jika menerima pesan yang dirancang untuk mengeksploitasi kerentanan tersebut.
Patch tersebut tidak menghilangkan format WAP Push atau mengubah pengoperasian normal ponsel: patch ini mencegah kerusakan dan menghapus pesan bermasalah sehingga tidak akan terpicu lagi. Menurut analisis publik tentang kerentanan tersebut, Google tidak menambahkan pemeriksaan panjang yang diusulkan oleh peneliti. Dalam praktiknya, perlindungan bergantung pada tanggal patch yang sebenarnya , bukan hanya versi Android yang ditampilkan di pengaturan.
Produsen, operator, dan pembaruan yang tidak selalu datang
Patch keamanan tidak mencapai semua perangkat dengan kecepatan yang sama. Samsung, Motorola, Xiaomi, dan produsen lain mendistribusikan pembaruan sesuai jadwal mereka sendiri, dan operator seluler dapat menunda peluncurannya. Ini berarti bahwa ponsel dengan versi Android terbaru mungkin masih menunggu perbaikan, sementara ponsel yang lebih lama mungkin tidak lagi menerima dukungan. Kerentanan terletak pada kode telepon umum, jadi hanya dengan mengganti merek tidak akan memperbaikinya.
Pengujian juga mereplikasi kerusakan pada Google Pixel dan beberapa ponsel Samsung Galaxy, termasuk model seri A yang belum menerima patch. Ketika pesan berbahaya masuk ke antrian, pesan tersebut diproses ulang setiap kali ponsel dinyalakan . Satu perangkat Android 12 bahkan melakukan reboot ke mode pemulihan kira-kira setiap 90 detik, sebuah siklus yang hanya dapat diatasi pengguna biasa dengan melakukan reset pabrik, yang mengakibatkan kehilangan data. Ada cara untuk menghapus hanya pesan yang bermasalah, tetapi ini memerlukan komputer, mengaktifkan debugging USB , dan bertindak dalam waktu singkat setelah setiap reboot.
Apa yang dapat dan tidak dapat dilakukan oleh serangan tersebut.
Penting untuk tidak melebih-lebihkan ancaman tersebut. Ini adalah serangan penolakan layanan (denial-of-service): pesan tersebut tidak dapat membaca data, menginstal program, atau mengambil kendali telepon . Penyerang perlu mengetahui nomor telepon korban dan memiliki cara untuk mengirim pesan data mentah. Alat yang dipublikasikan mengirimkan pesan-pesan ini dari perangkat Android lain dengan kartu SIM, sehingga operator dapat meninggalkan jejak transmisi.
Peneliti tersebut menerbitkan bukti konsep dan kode sumber lengkap di GitHub; namun, belum ada laporan yang menjelaskan penggunaannya terhadap orang sungguhan. Buletin keamanan bulan Oktober tidak menyertakan referensi yang jelas tentang solusi tersebut, sehingga banyak pemilik ponsel lama belum menerima peringatan resmi . Risikonya memang ada, tetapi tidak sama dengan memata-matai atau mencuri data: kerusakan utamanya adalah membuat ponsel tidak dapat digunakan dan, dalam skenario terburuk, memaksa pengaturan ulang pabrik.
Cara mengetahui apakah ponsel Anda sudah diperbarui
Cara mengeceknya sederhana: buka Pengaturan, cari Tentang ponsel atau Keamanan, dan periksa tanggal pembaruan keamanan Android. Pembaruan mulai Oktober dan seterusnya menyertakan perbaikan untuk versi yang kompatibel. Jika perangkat Anda masih menggunakan Android 12 atau 13, satu-satunya perlindungan lengkap adalah beralih ke perangkat yang terus menerima pembaruan ; memblokir nomor yang tidak dikenal atau menghindari membuka tautan tidak akan menyelesaikan masalah ini karena pesan diproses di latar belakang.
Peneliti yang mendokumentasikan kerentanan tersebut melaporkannya ke program bug bounty Android pada tanggal 5 Mei. Seorang insinyur Google menulis perbaikan tersebut pada pertengahan Juni, dan perbaikan tersebut hadir bersama pembaruan Oktober untuk Android 14 hingga 17. Analisis publik dan bukti konsep dirilis kemudian, pada tanggal 29 Oktober. Jeda waktu antara pemberitahuan dan rilis menjelaskan mengapa beberapa perangkat lama tidak termasuk.
"SMS of Death" adalah kerentanan penolakan layanan (denial-of-service) pada ponsel Android yang dipicu oleh pesan WAP Push yang dimanipulasi, tanpa modifikasi fisik apa pun. Perangkat Android 12 dan 13 tetap rentan jika belum menerima patch, sementara perbaikan bulan Oktober mencakup Android 14 hingga 17. Meskipun penggunaan secara luas terhadap pengguna sebenarnya belum didokumentasikan, disarankan untuk memeriksa tanggal keamanan ponsel Anda dan, jika sudah tidak didukung lagi, pertimbangkan untuk mengganti perangkat Anda.
