Android'de WAP Push mesajlarıyla cihazları devre dışı bırakan güvenlik açığı bulundu

Siber güvenlik araştırmacısı Mark Blaszczyk, CVE-2026-58882 koduyla takibe alınan bir Android güvenlik açığını ortaya çıkardı. 'SMS of Death' olarak adlandırılan açık, kullanıcının herhangi bir bağlantıya tıklamasına ya da mesajı açmasına gerek kalmadan, arka planda cihazların hücresel servislerini çökertebiliyor.

Açık, Android'in WAP Push SMS mesajlarını işleyen telefon altyapısındaki bir kodlama hatasından kaynaklanıyor. Kötü niyetli bir WAP Push mesajı alındığında telefon servisi çöküyor; bu durum aktif aramaların, acil servis aramaları dahil, anında kesilmesine ve 1-2 saniyelik hücresel servis kaybına yol açıyor. Operatörlerin iletilemeyen mesajları yeniden göndermesi nedeniyle tek bir mesaj bile cihazda tekrarlanan çökmelere neden olabiliyor. Yaklaşık 20 mesajın gönderilmesi halinde cihaz açılış döngüsüne girebiliyor ya da sistem tamamen kilitlenebiliyor.

Kilitlenen cihazlarda fabrika ayarlarına dönmenin her zaman çözüm olmadığı belirtiliyor, çünkü operatör mesajı yeniden iletiyor. Kurtarma için cihazın bilgisayara bağlanıp ADB (Android Debug Bridge) komutlarıyla kuyruktaki mesajların manuel olarak temizlenmesi gerekiyor. Yapılan testlerde açığın Android 12 ile Android 17 arasındaki tüm sürümlerde bulunduğu, Google Pixel ve Samsung Galaxy (A serisi dahil) cihazlarda tetiklenebildiği doğrulandı. Google, Ekim 2026 güvenlik yamasıyla açığı düzeltti; Android 14, 15, 16 ve 17 sürümlerinde sistem zararlı mesajı tespit edip imha ediyor. Güvenlik güncellemesi desteği sona eren ya da güncellemeyi almayan Android 12 ve 13 cihazlar ise korumasız kalmaya devam ediyor.