Un mesaj de doar 8 octeți, pe care nu-l vezi niciodată în aplicația de mesaje, poate opri pentru câteva secunde funcțiile de telefonie ale unui telefon Android și poate întrerupe orice apel în curs, inclusiv unul la 112. Repetat de câteva zeci de ori, atacul poate bloca telefonul în reporniri în buclă, uneori zile la rând. Vulnerabilitatea a fost numită „SMS of Death” („SMS-ul morții”) și e urmărită ca CVE-2026-58882. Cercetătorul Mark Blaszczyk a publicat detaliile pe 29 octombrie, împreună cu un program de demonstrație care poate trimite astfel de mesaje de pe un alt telefon Android.
Reparația a ajuns în actualizările de securitate din octombrie 2026 pentru Android 14, 15, 16 și 17. Android 12 și 13 nu o primesc de la Google și rămân vulnerabile, dacă producătorul telefonului nu livrează singur o remediere. Până acum nu au fost raportate atacuri reale în afara testelor.
Ce se întâmplă, pe scurt
| Întrebare | Răspuns |
|---|---|
| Ce trebuie să faci ca să fii atacat | nimic: nu deschizi, nu apeși, nu vezi nicio notificare |
| Ce face un singur mesaj | componenta de telefonie se oprește și repornește în una-două secunde; apelul în curs se întrerupe |
| Ce fac circa 20 de mesaje | telefonul intră în reporniri în buclă și poate rămâne inutilizabil o perioadă lungă |
| Versiuni reparate | Android 14–17, prin actualizarea de securitate din octombrie 2026 |
| Versiuni fără reparație de la Google | Android 12 și 13 |
| Atacuri reale | niciunul raportat până acum, dar codul de atac e public |
Cum funcționează atacul
Problema e într-o componentă veche din Android care procesează mesajele WAP Push, un tip special de SMS folosit de operatori, de exemplu, pentru a trimite setări de rețea. Aceste mesaje nu ajung în căsuța de mesaje: telefonul le citește automat, în fundal, imediat ce le primește.
Mesajul construit de atacator conține o valoare de lungime falsă. Android o convertește fără să verifice dacă are sens, iar rezultatul devine un număr negativ. Când sistemul încearcă să rezerve memorie de dimensiune negativă, apare o eroare care oprește procesul com.android.phone, cel care se ocupă de rețeaua mobilă și de apeluri. Blaszczyk spune că atacul a funcționat de fiecare dată pe telefoanele Google Pixel și Samsung Galaxy testate.
Partea cea mai neplăcută vine după aceea. Pentru că telefonul nu confirmă primirea mesajului, operatorul încearcă să-l livreze din nou. Mesajul rămâne și în lista de mesaje neprocesate și e citit iar la fiecare pornire, deci blocajul se repetă. În teste, aproximativ 20 de mesaje au fost suficiente pentru reporniri în buclă, iar reîncercările operatorului au ținut un telefon nefuncțional până la o săptămână. Un telefon cu Android 12 repornea în modul de recuperare cam la fiecare 90 de secunde.
De ce a durat atât
Google a primit raportul pe 5 mai 2026. Pe 15 iunie a scris o corecție, dar nu pe cea propusă de cercetător, adică verificarea lungimii din mesaj: a ales să prindă eroarea și să șteargă automat mesajul defect, ca telefonul să nu se mai blocheze la nesfârșit. Corecția a ajuns în codul public al Android în octombrie.
Clasificarea problemei e și ea neclară. Potrivit BornCity, Google a etichetat raportul pe 29 octombrie drept o eroare obișnuită, nu o problemă de securitate, așa că inițial nu a primit un cod CVE. O parte din industrie o urmărește totuși drept CVE-2026-58882, cu nivel critic. Potrivit eSecurity Planet, GrapheneOS, un sistem bazat pe Android, a indicat că remedierea ar urma să apară și în buletinul de securitate din noiembrie. BleepingComputer notează că problema nu apare în buletinul Google din octombrie, deși reparația e inclusă în actualizare.
Cum verifici dacă telefonul tău e protejat
- Vezi versiunea de Android: Setări → Despre telefon → Versiune Android (pe Samsung: Setări → Despre telefon → Informații software). Dacă scrie 12 sau 13, citește secțiunea următoare.
- Vezi data actualizării de securitate, afișată în același meniu. Ai nevoie de o dată din octombrie 2026 sau mai nouă.
- Caută actualizări: Setări → Sistem → Actualizare de sistem pe Pixel sau Setări → Actualizare software → Descărcare și instalare pe Samsung. Repornește telefonul după instalare, altfel actualizarea nu se încheie.
- Dacă nu există încă actualizarea, nu ai ce face din setări: atacul are loc înainte ca mesajul să ajungă la tine, deci nici ștergerea mesajelor, nici blocarea numerelor necunoscute nu ajută. Producătorii livrează de obicei actualizările Google cu câteva săptămâni sau luni de întârziere, deci verifică din nou peste câteva zile.
Pașii exacți pentru fiecare producător sunt în ghidul nostru despre actualizările de securitate, unde găsești și cum afli până când mai primește telefonul tău actualizări.
Ce faci dacă ai Android 12 sau 13
Pe aceste versiuni, Google nu livrează reparația. Unii producători mai pot trimite o actualizare proprie, dar mulți au încetat deja suportul pentru telefoanele din această generație. Câteva recomandări:
- Verifică dacă telefonul mai primește actualizări. Dacă ultima corecție de securitate e mai veche de câteva luni, probabil că nu va mai veni nimic.
- Nu te baza pe el ca singurul telefon pentru urgențe. Riscul de a fi atacat e mic, dar un telefon fără actualizări rămâne expus și la alte probleme, nu doar la aceasta.
- Fă o copie de siguranță a contactelor, pozelor și conversațiilor. Dacă telefonul ajunge în reporniri în buclă, s-ar putea să ai nevoie de ea.
Dacă telefonul a intrat deja în reporniri în buclă
Android are un mecanism numit RescueParty care, după mai multe blocaje la rând, trimite telefonul în modul de recuperare și îți propune resetarea la setările din fabrică. Specialiștii recomandă să nu alegi resetarea pe loc: îți pierzi datele, iar operatorul poate livra din nou mesajele după aceea, deci problema poate reveni.
Blaszczyk descrie o metodă de recuperare prin ADB, unealta Android pentru calculator, care șterge mesajele defecte fără să golească telefonul. Ea presupune însă un calculator și opțiunile pentru dezvoltatori activate dinainte, ceea ce majoritatea utilizatorilor nu au. Dacă nu te descurci singur, du telefonul la un service autorizat înainte să alegi resetarea.
De ce contează
SMS-ul e unul dintre cele mai vechi servicii ale unui telefon și unul dintre puținele pe care nu le poți opri complet. Un atac care nu cere nicio acțiune din partea ta și care poate întrerupe un apel la 112 e grav chiar și fără furt de date. Cazul arată și o problemă mai veche a ecosistemului Android: reparația există din iunie, dar ajunge la utilizatori abia acum, iar pentru multe telefoane cu Android 12 și 13 nu va ajunge deloc.
Surse: BleepingComputer (31 octombrie: mecanismul atacului, versiunile reparate și cele rămase fără reparație, testul cu 20 de mesaje, telefonul cu Android 12 care repornea la 90 de secunde, absența din buletinul din octombrie), eSecurity Planet (30 octombrie: calendarul raportului și al corecției, rata de reproducere pe Pixel și Galaxy, mesajul invizibil, GrapheneOS și buletinul din noiembrie), BornCity (clasificarea Google din 29 octombrie, statutul codului CVE, întreruperile de până la o săptămână, RescueParty, recomandarea de a evita resetarea, recuperarea prin ADB). Denumirile din meniuri pot diferi ușor în funcție de producător și de versiunea de Android.
Fii primul care comentează acest articol!