SMS of Death: הודעה אחת יכולה להפיל את הקליטה במכשירי Android שלא עודכנו
חוקר פרסם קוד תקיפה לחולשה ב-Android שמנתקת שיחות, גם למוקדי חירום, בלי שהמשתמש לוחץ על דבר. התיקון הגיע בעדכון אוקטובר, אבל לא ל-Android 12 ו-13.
TL;DR בקצרה
- הודעת SMS מעוותת מפילה את רכיב הטלפון של Android ומנתקת את הקליטה, בלי שום פעולה של המשתמש
- כ-20 הודעות יכולות לשתק מכשיר לזמן ארוך, ובמקרה אחד המכשיר נכנס ללולאת אתחולים
- Google תיקנה את הבעיה בעדכון האבטחה של אוקטובר 2026, רק ל-Android 14 עד 17
- קוד תקיפה פומבי כבר זמין, ולכן כדאי לבדוק עכשיו את רמת העדכון של הטלפון
חוקר אבטחה פרסם השבוע קוד תקיפה עובד לחולשה ב-Android שמאפשרת להפיל את הקליטה הסלולרית של טלפון באמצעות הודעת SMS אחת. הוא כינה אותה SMS of Death. לפי BleepingComputer, היא מסומנת CVE-2026-58882. הקורבן לא צריך לפתוח דבר, ואפילו לא רואה את ההודעה.
איך הודעה אחת מנתקת שיחה ב-Android
הבעיה יושבת ברכיב שמטפל בהודעות WAP Push. אלה הודעות מערכת מיוחדות, והטלפון מפענח אותן ברקע לפני שהן מגיעות לתיבת ההודעות. ערך אורך מעוות בכותרת ההודעה הופך למספר שלילי, והקוד קורס.
מה שקורס הוא התהליך com.android.phone, שמנהל את כל הקשר עם הרשת הסלולרית. כל קריסה מורידה את השירות לשנייה או שתיים. שיחה פעילה מתנתקת, גם שיחה למוקד חירום.
החלק המטריד הוא החזרה. המפעיל שולח מחדש הודעה שלא אושרה, והמכשיר מנסה לעבד אותה שוב בכל הפעלה. לדברי החוקר, הודעה אחת גרמה בניסוי שלו לנפילות לסירוגין במשך עד שבוע. כ-20 הודעות יכולות להשבית מכשיר לזמן ארוך.
לפי BleepingComputer, מכשיר Android 12 אחד נכנס למצב שחזור (Recovery) בערך כל 90 שניות. רק איפוס להגדרות היצרן החזיר אותו לפעולה. החוקר דיווח על הצלחה של 100% בבדיקות על כמה דגמים. ביניהם Pixel 9 עם קושחה מאפריל 2026, ומכשירי Samsung Galaxy מסדרות שונות, כולל סדרת A.
מי מוגן ומי נשאר חשוף
לפי ציר הזמן שהחוקר פרסם, הוא דיווח ל-Google ב-5 במאי 2026. מהנדס של Google כתב את התיקון ב-15 ביוני. התיקון הגיע למשתמשים בעדכון האבטחה של אוקטובר 2026, לגרסאות 14 עד 17. הפרסום הפומבי יצא ב-29 באוקטובר.
התיקון לא מוסיף בדיקת גבולות, כפי שהחוקר הציע. הוא תופס את השגיאה ומוחק את ההודעה הבעייתית מהמאגר הפנימי, כך שהיא לא חוזרת. לפי BleepingComputer, החולשה לא מופיעה בעלון האבטחה של Google לאוקטובר. לכן קשה להבין מהעלון שהיא תוקנה.
הבעיה הגדולה היא Android 12 ו-13. גרסאות אלה כבר לא מקבלות את התיקון. מכשירים כאלה נשארים חשופים גם אם הבעלים שלהם עשו כל מה שאפשר. אם יש טלפון כזה במשפחה או בעסק, כדאי לדעת את זה.
למה הסיכון של Android מוחשי עכשיו
כל עוד אף אחד לא פרסם קוד, החולשה הייתה בעיקר תיאורטית. עכשיו קוד ההוכחה (PoC, Proof of Concept) זמין ב-GitHub. כל מי שמסוגל לשלוח SMS בפורמט גולמי יכול לנסות אותו על מכשירים שלא עודכנו. אין דיווח על ניצול בפועל נכון לעכשיו.
זו לא פריצה שגונבת מידע. אבל טלפון בלי קליטה הוא סיכון ממשי, בעיקר למי שתלוי בו לשיחות חירום, להזדהות בקוד SMS או לעבודה. לעסק עם צי מכשירים, תקיפה כזו יכולה לנתק עובדים בבת אחת.
החוקר מציע דרך לשבור את לולאת האתחולים בלי איפוס, באמצעות ADB (כלי פיתוח שמתחבר לטלפון ממחשב). זה לא פתרון למשתמש רגיל. הוא גם מזהיר לא לבחור באפשרות מחיקת הנתונים במסך השחזור.
מה זה אומר עבורכם
- בדקו את רמת העדכון בהגדרות, בדרך כלל תחת אודות הטלפון וגרסת Android. צריך לראות עדכון אבטחה מאוקטובר 2026 או מאוחר ממנו.
- אם יש עדכון ממתין, התקינו אותו והפעילו את הטלפון מחדש. אצל חלק מהיצרנים העדכון מגיע באיחור, אז בדקו שוב בימים הקרובים.
- טלפון עם Android 12 או 13 לא יקבל תיקון. שקלו להחליף אותו, בעיקר אצל מבוגרים או ילדים שתלויים בו לשיחות חירום.
- הטלפון נתקע בלולאת אתחולים? אל תבחרו במחיקת נתונים במסך השחזור. פנו לטכנאי שמכיר את ADB.
- מנהלים צי מכשירים לעובדים? הפיקו דוח רמות עדכון ממערכת הניהול, וזהו מכשירים שתקועים על גרסאות ישנות.
מה הלאה
כדאי לעקוב אחרי יצרני המכשירים, ולבדוק מתי הם מפיצים את עדכון אוקטובר לכל הדגמים. כדאי גם לבדוק אם המפעילים יחסמו הודעות מעוותות כאלה ברשת. הסינון הזה יכול להגן גם על מכשירים שלא יעודכנו לעולם.
מקורות והרחבה
- New Android SMS of Death exploit can remotely crash unpatched phonesBleepingComputer
- SMS of DeathMark B (researcher)
- Fix remote DoS in decodeWapPduAndroid Open Source Project
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
