Ενα σοβαρό κενό ασφαλείας στο Android επιτρέπει την απομακρυσμένη διακοπή της λειτουργίας ενός smartphone μέσω ενός κακόβουλου SMS, χωρίς ο χρήστης να χρειάζεται να ανοίξει μήνυμα ή να πατήσει κάποιον σύνδεσμο.
Το πρόβλημα, γνωστό ως «SMS of Death», μπορεί να τερματίσει ενεργές τηλεφωνικές κλήσεις, να προκαλέσει προσωρινή απώλεια σύνδεσης με το δίκτυο κινητής τηλεφωνίας και, σε ορισμένες περιπτώσεις, να οδηγήσει τη συσκευή σε επαναλαμβανόμενες επανεκκινήσεις.
Την ευπάθεια αποκάλυψε ο ερευνητής κυβερνοασφάλειας Mark Blaszczyk, ο οποίος δημοσίευσε την τεχνική ανάλυση και μια λειτουργική επίδειξη της επίθεσης στις 29 Οκτωβρίου 2026. Το πρόβλημα, με αναγνωριστικό CVE-2026-58882, εντοπίζεται σε βασικό υποσύστημα τηλεφωνίας του Android και δοκιμάστηκε επιτυχώς σε συσκευές Google Pixel και Samsung Galaxy. Η Google έχει αναπτύξει σχετική διόρθωση, ωστόσο η διαθεσιμότητά της δεν είναι ίδια για όλες τις εκδόσεις και τους κατασκευαστές.
Ένα αόρατο SMS αρκεί για να διακόψει την τηλεφωνία
Σε αντίθεση με τις συνηθισμένες επιθέσεις μέσω SMS, που προσπαθούν να παρασύρουν τον χρήστη να ανοίξει έναν κακόβουλο σύνδεσμο, το SMS of Death λειτουργεί χωρίς καμία ανθρώπινη ενέργεια.
Η επίθεση αξιοποιεί ειδικά διαμορφωμένα μηνύματα WAP Push, έναν παλαιότερο μηχανισμό του δικτύου κινητής τηλεφωνίας που επιτρέπει την αποστολή δεδομένων και οδηγιών προς τη συσκευή.
Τα συγκεκριμένα μηνύματα επεξεργάζονται απευθείας από το λειτουργικό σύστημα και δεν εμφανίζονται απαραίτητα στην εφαρμογή SMS. Έτσι, ο κάτοχος μπορεί να μη γνωρίζει ότι έλαβε κακόβουλο περιεχόμενο.
Σύμφωνα με τον ερευνητή, η λήψη ενός τέτοιου μηνύματος προκαλεί κατάρρευση της διαδικασίας com.android.phone, η οποία διαχειρίζεται κρίσιμες λειτουργίες της κινητής τηλεφωνίας.
Το αποτέλεσμα είναι η προσωρινή απώλεια υπηρεσίας και ο τερματισμός μιας κλήσης που βρίσκεται σε εξέλιξη. Η ίδια επίδραση μπορεί να παρουσιαστεί ακόμη και κατά τη διάρκεια επικοινωνίας με υπηρεσίες έκτακτης ανάγκης.
Πώς λειτουργεί η ευπάθεια SMS of Death
Το τεχνικό πρόβλημα βρίσκεται στη συνάρτηση decodeWapPdu(), η οποία χρησιμοποιείται από το Android για την αποκωδικοποίηση συγκεκριμένων μηνυμάτων WAP Push.
Κατά την επεξεργασία τους, το λειτουργικό διαβάζει μια αριθμητική τιμή που περιγράφει το μήκος ενός τμήματος δεδομένων. Εξαιτίας ανεπαρκούς ελέγχου της τιμής, ένα κακόβουλο μήνυμα μπορεί να οδηγήσει σε λανθασμένη μετατροπή του αριθμού.
Το Android επιχειρεί τότε να δημιουργήσει έναν πίνακα δεδομένων με μη έγκυρο μέγεθος, προκαλώντας ένα σφάλμα NegativeArraySizeException.
Στις ευάλωτες εκδόσεις, το σφάλμα δεν αντιμετωπίζεται σωστά και καταλήγει να τερματίζει τη διαδικασία τηλεφωνίας.
Η ευπάθεια χαρακτηρίζεται ως zero-click denial-of-service, επειδή επιτρέπει τη διακοπή μιας υπηρεσίας χωρίς αλληλεπίδραση του θύματος. Δεν πρόκειται για τεχνική που, με βάση τα δημοσιευμένα ευρήματα, επιτρέπει την υποκλοπή κωδικών, προσωπικών δεδομένων ή τον απομακρυσμένο έλεγχο του smartphone.
Πώς ένα κινητό μπορεί να παγιδευτεί σε συνεχείς επανεκκινήσεις
Η σοβαρότερη συνέπεια εμφανίζεται όταν η συσκευή προσπαθεί επανειλημμένα να επεξεργαστεί το ίδιο κακόβουλο μήνυμα.
Αν η παράδοση δεν ολοκληρωθεί, ο πάροχος κινητής τηλεφωνίας μπορεί να επιχειρήσει νέα αποστολή. Παράλληλα, το Android ενδέχεται να διατηρεί το μήνυμα σε εσωτερική ουρά αναμονής και να προσπαθεί ξανά να το επεξεργαστεί.
Ο ερευνητής διαπίστωσε ότι περίπου 20 κακόβουλα μηνύματα ήταν αρκετά σε δοκιμές για να καταστήσουν μια συσκευή πρακτικά μη λειτουργική επί παρατεταμένο διάστημα.
Σε δοκιμή με Android 12, το κινητό κατέληγε επανειλημμένα σε λειτουργία ανάκτησης, με κύκλους επανεκκίνησης περίπου κάθε 90 δευτερόλεπτα.
Η αποκατάσταση μπορεί να απαιτεί τεχνική παρέμβαση μέσω Android Debug Bridge (ADB), ώστε να απομακρυνθούν τα προβληματικά μηνύματα από την εσωτερική βάση δεδομένων. Η διαδικασία προϋποθέτει εξειδικευμένες γνώσεις και δεν αποτελεί πρακτική λύση για τον μέσο χρήστη.
Ποιες εκδόσεις Android επηρεάζονται
Ο Blaszczyk ανέφερε ότι αναπαρήγαγε την ευπάθεια σε εκδόσεις από το Android 12 έως το Android 16, χρησιμοποιώντας διαφορετικά smartphones.
Σύμφωνα με τα στοιχεία που δημοσίευσε, η σχετική διόρθωση έχει ενσωματωθεί σε ενημερώσεις για Android 14 έως Android 17. Ωστόσο, ο κωδικός CVE-2026-58882 δεν εμφανίζεται στο επίσημο δελτίο ασφαλείας της Google για τον Οκτώβριο του 2026.
Η ύπαρξη της διόρθωσης στον κώδικα του Android έχει καταγραφεί από τον Ιούνιο. Το GrapheneOS έχει επίσης αναφέρει τη συγκεκριμένη ευπάθεια στις ενημερώσεις ασφαλείας του, ενώ υπάρχουν ενδείξεις ότι θα συμπεριληφθεί στο δελτίο της Google για τον Νοέμβριο.
Για τις συσκευές που εξακολουθούν να λαμβάνουν ενημερώσεις, η προστασία εξαρτάται από το αν ο κατασκευαστής έχει ενσωματώσει τη σχετική διόρθωση.
Μεγαλύτερο πρόβλημα αντιμετωπίζουν παλαιότερα smartphones με Android 12 ή Android 13 που έχουν σταματήσει να υποστηρίζονται και ενδέχεται να μη λάβουν ποτέ την απαραίτητη ενημέρωση.
Τι πρέπει να κάνουν οι χρήστες Android
Η σημαντικότερη προληπτική ενέργεια είναι η εγκατάσταση της νεότερης διαθέσιμης ενημέρωσης ασφαλείας.
Οι χρήστες μπορούν να ελέγξουν την έκδοση Android και το επίπεδο ενημέρωσης ασφαλείας μέσα από τις Ρυθμίσεις και την ενότητα «Σχετικά με το τηλέφωνο». Για νέες ενημερώσεις μπορούν να επισκεφθούν την ενότητα «Σύστημα» και στη συνέχεια «Ενημέρωση λογισμικού», ανάλογα με τον κατασκευαστή.
Σε συσκευές που δεν υποστηρίζονται πλέον, η αναβάθμιση σε νεότερο μοντέλο αποτελεί ασφαλέστερη μακροπρόθεσμη επιλογή.
Μέχρι στιγμής δεν υπάρχουν επιβεβαιωμένες αναφορές για εκτεταμένη εκμετάλλευση της ευπάθειας σε πραγματικές επιθέσεις. Η δημοσιοποίηση, ωστόσο, λειτουργικού proof-of-concept καθιστά ιδιαίτερα σημαντική την έγκαιρη εγκατάσταση των διαθέσιμων διορθώσεων.
