Képzeld el, hogy tárcsázod a 911-et, és a telefonod hirtelen bontja a vonalat. Nem nyomtál meg semmit, a térerő nem tűnt el, és nincs rá egyértelmű magyarázat. A háttérben viszont egy SMS, amit soha nem is kaptál meg, térdre kényszerítette a telefon híváskezelő rendszerét.

Ezt a rémisztő forgatókönyvet takarja az SMS of Death névre keresztelt, frissen nyilvánosságra hozott Android sebezhetőség, amely lehetővé teszi, hogy támadók távolról zavarják meg a telefonok működését, anélkül hogy az áldozat bármit is tenne.

A hibát Mark Blaszczyk biztonsági kutató fedezte fel. Egy speciálisan összeállított SMS-ről van szó, aminek feldolgozásával az Android nem boldogul. A szokásos üzenetekkel ellentétben ez soha nem jelenik meg az üzenetek között, így nem látsz gyanús értesítést vagy ismeretlen feladót, ami figyelmeztethetne. Ehelyett az üzenet összeomlasztja a hívások kezeléséért felelős rendszert, azonnal megszakítva a folyamatban lévő beszélgetéseket, beleértve a segélyhívásokat is. A bontott hívás azonban még a kisebbik gond lehet.

Mivel az Android újra és újra megpróbálhatja feldolgozni ugyanazt a rosszindulatú üzenetet, az összeomlás ismétlődhet. Blaszczyk szerint nagyjából 20 ilyen SMS gyakorlatilag használhatatlanná teheti a telefont, és akár folyamatos újraindulási ciklusba is zárhatja.

Még a gyári visszaállítás sem feltétlenül jelent tartós megoldást, ha a szolgáltató újraküldi a problémás üzeneteket. Ha nem akarod törölni a telefon teljes tartalmát, a helyreállításhoz számítógépre kellhet csatlakoztatni a készüléket, és kézzel törölni az üzeneteket – ez a legtöbb Android-felhasználó számára aligha reális megoldás.

A kutató sikeresen reprodukálta a támadást Google Pixel és Samsung Galaxy készülékeken is. A sebezhető kód egészen Android 12-ig visszavezethető, de a kockázat attól függ, hogy az adott eszköz megkapta-e már a javítást. Azok a régebbi Android-verziók, amelyek már nem kapnak biztonsági frissítéseket, tartósan kiszolgáltatottak maradhatnak.

A Google szerint nem volt biztonsági probléma. A saját javítása mást sejtet.

Blaszczyk először május 5-én jelezte a hibát a Google-nek, de elmondása szerint a vállalat többször is elutasította a jelentését, arra hivatkozva, hogy ez nem biztonsági probléma. A válasz miatt csalódott kutató végül október 29-én nyilvánosságra hozta a sebezhetőséget, és közzétett egy működő demonstrációt is. Közben a Google már dolgozott a megoldáson.

Az Android saját kódnaplója szerint a cég június 15-én elkészítette a javítást. Az új szoftver nem engedi, hogy a rosszindulatú üzenet újra és újra összeomlassza a telefont: lekezeli a hibát, és még azelőtt törli a problémás SMS-t, hogy az további kárt okozhatna. A GrapheneOS később az X-en pontosított: a Google júliusban, biztonsági előzeteseken keresztül már terítette a javítást, jóval a kutató nyilvános bejelentése előtt.

A sebezhetőség CVE-2026-58882 azonosítót kapott, Kritikus besorolású, és várhatóan bekerül a novemberi Android Security Bulletinbe.

Felmerül a kérdés: miért utasított el a Google egy olyan problémát, amelyet a mérnökei már korábban kijavítottak? Könnyen lehet, hogy egy belső kommunikációs zavar áll a háttérben, például egy duplikált jelentés miatt, de a Google nyilvánosan egyelőre nem magyarázta meg az ellentmondást.

Blaszczyk szerint a Google az októberi Android biztonsági frissítésekben tette elérhetővé a javítást a 14–17-es verziókhoz. A GrapheneOS ezzel szemben azt közölte, hogy a sebezhetőség a novemberi biztonsági közleményben fog szerepelni, de a tényleges javítást már megkapta a Google júliusi biztonsági előzetesein keresztül.

A két idővonal nem feltétlenül mond ellent egymásnak. A gyártók a nyilvános közlemény előtt is megkaphatják a biztonsági javításokat, de az, hogy ezek mikor jutnak el a konkrét készülékekre, továbbra sem egyértelmű. Az Android-felhasználók számára a legbiztonságosabb, ha telepítik a legfrissebb elérhető biztonsági frissítést.