Un singur SMS poate bloca un telefon Android, iar Android 12 și 13 nu vor primi o remediere

Un cercetător a făcut public un cod de atac funcțional pentru o vulnerabilitate Android care îi permite oricui îți știe numărul să-ți blocheze telefonul cu un singur SMS. Supranumit „SMS-ul morții”, mesajul nu apare niciodată în căsuța de mesaje și nu trebuie să apeși pe nimic. El blochează componenta Android care gestionează apelurile și semnalul mobil, întrerupând orice convorbire în curs, inclusiv un apel la serviciile de urgență. Google a remediat problema în versiunile actuale de Android, însă telefoanele mai vechi, care nu mai primesc actualizări de securitate, vor rămâne vulnerabile.

Pentru cei mai mulți utilizatori, întrebarea e simplă: ai instalat cea mai recentă actualizare de securitate pe telefon? Bugul se află în codul de bază al Android pentru telefonie, folosit de toți producătorii, așa că nu ține de o anumită marcă. Cercetătorul, care publică sub numele Mark B, spune că a reprodus blocarea de fiecare dată pe un Google Pixel și pe mai multe telefoane Samsung Galaxy, inclusiv modele mai ieftine din seria A, care nu primiseră încă remedierea.

Atacul exploatează WAP Push, un format vechi de mesaje pe care operatorii îl folosesc pentru a trimite setări telefoanelor, în fundal. Un mesaj malformat face Android să încerce să rezerve o cantitate negativă de memorie, iar procesul care gestionează apelurile și semnalul se blochează. Fiecare mesaj lasă victima fără serviciu timp de o secundă sau două. Repetarea atacului provoacă însă pagubele reale. Operatorii retrimit mesajele la care telefonul nu a confirmat primirea, iar în testele cercetătorului un singur mesaj a provocat întreruperi intermitente ale serviciului timp de până la o săptămână. Aproximativ 20 de astfel de mesaje au făcut un telefon inutilizabil.

Mesajele malițioase rămân și în coada de procesare, fiind procesate din nou la fiecare pornire. Într-un test, un telefon cu Android 12 repornea în modul de recuperare cam la fiecare 90 de secunde — o buclă din care un utilizator obișnuit ar putea ieși doar prin resetarea la setările din fabrică, care șterge datele de pe dispozitiv. Un colaborator la proiect, care folosește numele Sakis, a găsit o metodă de a șterge doar mesajele problematice, dar aceasta presupune un computer, instrumentele pentru dezvoltatori Android și o intervenție rapidă în scurtul interval de după fiecare repornire.

Cercetătorul, care descrie vulnerabilitatea în contextul numărului de urgență Triple Zero din Australia, atrage atenția asupra unui efect secundar neobișnuit. Regulile australiene obligă operatorii să identifice telefoanele care nu pot apela serviciile de urgență și, în cele din urmă, să le deconecteze, iar Telstra spune că blochează astfel de telefoane dacă situația nu se schimbă în 28 de zile. În interpretarea cercetătorului, un atacator care poate face un telefon să nu poată apela serviciile de urgență la cerere ar putea determina blocarea chiar a telefonului victimei în rețea.

Există și motive să nu exagerăm pericolul. Este un atac de tip denial-of-service, nu o spargere a telefonului: mesajul nu poate citi datele, instala ceva sau prelua controlul dispozitivului. Atacatorul are nevoie de numărul tău și de o metodă prin care să trimită mesaje brute de date, iar instrumentul publicat le trimite de pe un alt telefon Android cu cartelă SIM, ceea ce lasă urme la operator. Până acum, niciun raport public nu descrie folosirea vulnerabilității împotriva unor persoane reale. Buletinul de securitate Google din octombrie nu menționează nici el remedierea, după cum a observat BleepingComputer, așa că proprietarii telefoanelor mai vechi nu au primit nicio avertizare oficială că sunt vulnerabili.

Pentru a verifica, deschide Setări, accesează Despre telefon sau Securitate și caută data actualizării de securitate Android. Orice actualizare din octombrie 2026 sau ulterioară include remedierea. Samsung, Motorola, Xiaomi și ceilalți producători distribuie corecțiile după propriul calendar, iar operatorii le pot întârzia, așa că și un telefon cu o versiune mai nouă de Android poate fi încă în așteptare. Pentru telefoanele care au rămas la Android 12 sau 13, singura protecție completă este trecerea la un dispozitiv care încă primește actualizări.

Cercetătorul a raportat vulnerabilitatea programului Google de recompense pentru vulnerabilitățile Android pe 5 mai. Un inginer Google a scris remedierea la mijlocul lunii iunie, iar aceasta a fost inclusă în actualizarea de securitate din octombrie 2026 pentru Android 14 până la 17. Prezentarea publică și demonstrația de concept au urmat pe 29 octombrie. Google nu a adăugat verificarea lungimii mesajului, propusă de cercetător: corecția sa detectează blocarea și șterge mesajul problematic, astfel încât acesta să nu mai poată provoca din nou aceeași problemă.

Astfel, telefoanele Android mai vechi rămân într-o situație ciudată. Încă pot efectua apeluri în mod normal. Doar că nu te poți baza că le vei putea duce la capăt.

Etichete: știri, Google, Android, securitatea cibernetică, Google Pixel, Samsung Galaxy