8 baytlık WAP Push SMS, Android'in telefon sürecini çökertip aktil ve acil çağrıları kesebiliyor

Bir araştırmacı, tek bir hatalı biçimlendirilmiş kısa mesajın telefon aramalarından sorumlu sistem bileşenini çökertmesine olanak tanıyan CVE-2026-58882 adlı Android açığı için çalışan bir exploit yayınladı. dev.to'da yer alan bir yazıya göre araştırmacı Mark Blaszczyk, 2948 numaralı porta gönderilen sekiz baytlık bir WAP Push mesajının Android'in telefoni süreci olan com.android.phone'u devre dışı bırakmak için yeterli olduğunu gösterdi. Bu süreç çöktüğünde, devam eden tüm çağrılar — acil servis çağrıları dahil — kesiliyor.

Saldırı, mesajın geldiğini hiç görmeyen alıcıdan herhangi bir etkileşim gerektirmiyor.

Çökme nasıl gerçekleşiyor

WAP Push, Android'in normal bir kısa mesaj olarak göstermek yerine arka planda sessizce işlediği eski bir SMS tabanlı teslimat biçimi. dev.to'daki yazıya göre bu görünmezlik exploit'i pratik kılan şey: hatalı biçimlendirilmiş sekiz baytlık yük otomatik olarak işleniyor ve işlenmesi com.android.phone'un çökmesine yol açıyor.

Tek bir mesaj mevcut çağrı oturumunu sonlandırıyor, ancak hasar tekrarlandıkça büyüyor. dev.to'ya göre yaklaşık yirmi mesaj, bir telefonu yeniden başlatma döngüsüne sokarak fiilen kullanılamaz hale getirebiliyor.

Yama yalnızca yeni Android sürümlerini kapsıyor

Temeldeki hata dev.to yazısına göre Android 12'den beri mevcut. Google Ekim güvenlik güncellemelerinde bir yama yayınladı, ancak yalnızca Android 14 ile 17 arasındaki sürümlere uygulanıyor. Hâlâ Android 12 veya 13 çalıştıran cihazlar hiçbir şey almadı ve artık herkese açık bir yazıdan yeniden üretilebilen bir açık için üretici yaması olmadan açıkta kaldılar.

Ciddi, ama yalnızca erişilebilirlik konusunda

Kaynak, hasarı dar bir çerçeveye oturtuyor. Şimdiye kadar açığı istismar eden saldırıların sahada doğrulandığına dair bir bulgu yok ve etki, veri hırsızlığından ziyade erişilebilirlik kaybı: açık bir süreci çökertip hizmeti aksatıyor, ancak cihazın içeriğini ifşa ettiğine dair bir belirti yok.

Kullanıcıların fiilen yapabilecekleri

Savunma seçenekleri zayıf. dev.to'ya göre Android, gelen WAP Push mesajlarını engelleyen bir ayar sunmuyor; dolayısıyla tek pratik koruma, en son güvenlik güncellemesini yüklemek — yani Android 14 veya daha yenisini kullananlar için Ekim yama düzeyi. Android 12 veya 13'te kalmış cihazlar içinse yazı hiçbir çözüm önermiyor.

Neden önemli

Bu hata, erişilebilirliğin gizlilik kadar önemli olabileceğinin bir hatırlatıcısı. Sessizce düşen bir çağrı, karşı taraf acil servisler olduğunda basit bir rahatsızlıktan öte; yalnızca bir telefon numarası ve görünmez bir mesaj gerektiren bir saldırı ise uygulanması önündeki neredeyse tüm engelleri ortadan kaldırıyor.

Daha kaygı verici olan yama boşluğu. Android 12 ve 13'teki cihazlar için ne bir yama var ne de kötü niyetli mesajları kendilerinin filtreleyebilme imkânı; bu yüzden açıkta kalan telefonların sayısı yalnızca insanlar eski donanımlardan geçtikçe azalacak. Çalışan bir exploit artık herkese açık olduğuna göre, ifşa ile kötüye kullanım arasındaki marj, kullanıcıların ne kadar hızlı güncellediğine ve kimsenin kurbanlarının hiç görmediği bir kısa mesajı silaha dönüştürüp dönüştürmeyeceğine bağlı.