SMS of Death: un SMS invizibil poate bloca telefoane Android

Un cercetător în securitate a publicat pe 29 octombrie 2026 detaliile unei vulnerabilități din Android pe care a numit-o „SMS of Death”. Un singur SMS special construit, pe care nu îl vezi niciodată în aplicația de mesaje, oprește serviciul de telefonie al telefonului și închide apelul în curs, inclusiv un apel la numărul de urgență. Problema a fost reprodusă pe telefoane Google Pixel și Samsung Galaxy, iar remedierea există doar în actualizarea de securitate din octombrie 2026, pentru Android 14–17.

Ce este SMS of Death și ce îi face telefonului?

Vulnerabilitatea stă în codul de bază al Android, în componenta care procesează mesajele de tip WAP Push, un format vechi, folosit de exemplu pentru notificările MMS. Un antet de doar 5 octeți, construit intenționat greșit, face ca sistemul să încerce să rezerve o zonă de memorie cu dimensiune negativă. Rezultatul este o eroare care oprește procesul telefonului, cel care se ocupă de apeluri și de rețeaua mobilă.

Atacul nu cere nicio acțiune din partea ta și nu produce nicio notificare. Mesajul ajunge ca SMS de date, nu apare în aplicația de mesaje, iar numărul expeditorului nu se vede. Atacatorul are nevoie doar de numărul tău de telefon.

Fiecare mesaj produce o întrerupere de 1–2 secunde a semnalului, cât timp serviciul de telefonie repornește. Dacă vorbeai în acel moment, apelul se închide. Mai grav, mesajele neconfirmate de telefon sunt retrimise de operator. În testele cercetătorului, un singur mesaj a provocat întreruperi intermitente timp de până la o săptămână, iar aproximativ 20 de mesaje au făcut telefonul inutilizabil pentru o perioadă lungă.

Care telefoane sunt expuse?

Cercetătorul a reprodus problema de la Android 12 până la Android 16, pe un Pixel 9 și pe mai multe modele Samsung Galaxy, inclusiv din seria A, cu o rată de reușită de 100%.

Google a scris corecția pe 15 iunie 2026 și a inclus-o în actualizarea de securitate din octombrie 2026 pentru Android 14, 15, 16 și 17. Telefoanele care au deja nivelul de securitate din octombrie 2026 sau unul mai nou sunt protejate. Telefoanele rămase pe Android 12 sau 13, care nu mai sunt în perioada de suport, rulează același cod, dar nu primesc remedierea.

Dacă ai un telefon mai vechi, verifică întâi dacă mai primește actualizări de securitate. Am explicat recent cum arată sfârșitul suportului în cazul Xperia 10 VI, care rămâne fără Android 17.

Cum verifici dacă telefonul tău are actualizarea din octombrie?

Pe un telefon Samsung Galaxy deschizi Setări, apoi Despre telefon, apoi Informații software. Rândul „Nivel patch securitate Android” trebuie să arate o dată din octombrie 2026 sau mai nouă. Dacă vezi o dată mai veche, mergi în Setări, Actualizare software, și apeși pe Descărcare și instalare.

Pe un Google Pixel intri în Setări, Securitate și confidențialitate, apoi Sistem și actualizări. Acolo vezi data actualizării de securitate și poți căuta manual o versiune nouă.

Actualizările Samsung ajung în valuri, diferit de la un model la altul. Dacă telefonul îți spune că ai cel mai nou software, dar nivelul de securitate e mai vechi de octombrie, reverifică peste câteva zile. Între timp, merită să ai activată și actualizarea automată a aplicațiilor, ca să nu rămâi în urmă nici cu restul corecturilor.

Ce faci dacă telefonul pierde semnalul sau repornește singur?

Primul semn: semnalul dispare scurt și repetat, iar apelurile se închid fără motiv. În cazul grav, telefonul intră într-o buclă: mesajul rămâne în coada de mesaje și e procesat la fiecare pornire, iar sistemul de protecție al Android repornește telefonul în modul de recuperare cam la fiecare 90 de secunde.

În acel ecran de recuperare nu alege opțiunea de ștergere a datelor (wipe data). O resetare la setările din fabrică șterge tot de pe telefon și nu rezolvă sigur problema, pentru că operatorul poate retrimite mesajul. Există o metodă care elimină doar mesajele problematice, dar cere un calculator și comenzi ADB, pentru dezvoltatori. Pentru majoritatea utilizatorilor, varianta realistă este un service autorizat sau magazinul operatorului.

Dacă apelul la 112 se închide brusc, sună din nou sau folosește alt telefon din apropiere: întreruperea provocată de un mesaj durează 1–2 secunde.

Ce spune Google despre vulnerabilitate?

Potrivit cronologiei publicate de cercetător, raportul trimis pe 5 mai 2026 prin programul de recompense Android a fost tratat drept o problemă care nu ține de securitate, deși un inginer Android a scris corecția pe 15 iunie. Corecția prinde eroarea și șterge mesajul problematic, ca să nu mai blocheze telefonul la retrimitere sau la repornire.

Potrivit Android Authority, vulnerabilitatea are codul CVE-2026-58882, cu severitate critică, și ar urma să apară în buletinul de securitate Android din noiembrie. Publicația a cerut Google detalii despre calendarul actualizărilor și nu primise răspuns la momentul publicării. Nu am găsit o declarație publică separată a Google până la ora redactării, pe 31 octombrie.

De ce contează codul publicat?

Cercetătorul a publicat și o aplicație demonstrativă care trimite mesajul, cu avertismentul că e destinată doar testării pe propriile dispozitive. Atacul nu mai e doar teoretic, iar telefoanele fără actualizarea din octombrie rămân ținte ușoare. Ca în cazul telefoanelor Android infectate din fabrică, un telefon fără actualizări devine, în timp, un risc. Dacă al tău a rămas pe Android 12 sau 13, iar modelele mai noi primesc deja One UI 9 în România, merită să te gândești la schimbare.

Citești des GadgetReport.ro? Adaugă-ne ca sursă preferată pe Google, iar știrile noastre îți vor apărea mai des în Top Stories.