Android 'SMS of Death' acigi tek bir mesajla telefonlari uzaktan cokertebiliyor

Android'de yeni ayrintilariyla ortaya cikan ve "SMS of Death" (olum SMS'i) olarak anilan bir acik, yamalanmamis bir telefonu tek bir metin mesajiyla uzaktan cokertip aramalarini kesebiliyor; bu bilgi BleepingComputer'dan Lawrence Abrams'in 31 Ekim 2026 tarihli haberine dayaniyor. CVE-2026-58882 olarak izlenen sifir tiklama (zero-click) hizmet disi birakma acigi, kurbanin herhangi bir islem yapmasini gerektirmiyor ve kesintiye neyin yol actigina dair gorunur bir iz birakmiyor.

Neler oldu?

BleepingComputer'a gore acigi guvenlik arastirmacisi Mark Blah kesfetti ve teknik bir analizle birlikte bir kavram kaniti (PoC) istismar kodu yayimladi. Habere gore sorun Android'in telefon (telephony) kodunda bulunuyor ve Google bir duzeltme hazirlamis olsa da acik, Google'in Ekim 2026 guvenlik bulteninde yer almiyor. BleepingComputer, calisan bir kamuya acik PoC'nin artik mevcut oldugunu belirtmekle birlikte, simdiye dek vahsi dogada gozlemlenmis bir saldiri olmadigini bildiriyor.

Teknik detaylar

BleepingComputer, acigin Android'in veri SMS'i olarak iletilen bir WAP Push mesajini isleme biciminde, ozellikle bir baslik uzunlugu degerini hatali dogrulayan WapPushOverSms.decodeWapPdu fonksiyonunda bulundugunu aktariyor. Bozuk mesaj islendiginde bu deger buyuk bir negatif sayi olarak yorumlaniyor ve Android negatif boyutlu bir bellek ayirmaya calisiyor. Habere gore bu durum, cihazin hucresel islevlerini yoneten com.android.phone surecini cokerten bir NegativeArraySizeException hatasini tetikliyor. Mesaj, SMS gelen kutusuna hic ulasmadan isleniyor; bu yuzden kurban hicbir sey gormuyor. BleepingComputer, mesajin tekrar tekrar iletilmesinin tekrarli cokmelere yol acabilecegini ve bir testte yaklasik 20 mesajin bir Android 12 cihazini fabrika ayarlarina donmeyi gerektiren bir yeniden baslatma dongusune soktugunu belirtiyor.

Kimler etkileniyor?

BleepingComputer'a gore Google'in duzeltmesi Ekim 2026 guvenlik guncellemelerinde Android 14'ten 17'ye kadar olan surumlere dahil edildi; ancak Android 12 ve 13 cihazlar bu duzeltmeyi almadi ve savunmasiz kaldi. Tum Android yamalarinda oldugu gibi, bir duzeltmenin belirli bir telefona ne zaman ulasacagi cihaz ureticisine ve mobil operatore bagli; bu nedenle cok sayida cihaz bir sure daha acik kalabilir. Cokme, acil aramalar dahil aktif aramalari kesebildigi icin haber, pratik riski veri hirsizligindan cok bir guvenilirlik ve guvenlik sorunu olarak cerceveliyor.

Ne yapmali?

BleepingComputer, kullanicilara cihazlari icin mevcut en son guvenlik guncellemelerini kurmalarini oneriyor. Duzeltmeyi almasi planlanmayan Android 12 veya 13 kullanicilari, ureticilerinin yamali bir Android surumune yukseltme sunup sunmadigini kontrol etmeli. Haber ayrica, Sakis adini kullanan bir GitHub katkicisinin, kotu niyetli mesajlari cihazdan kaldirmak icin bir Android Debug Bridge (ADB) yontemi yayimladigini, ancak bunun teknik beceri ve bagli bir bilgisayar gerektirdigini belirtiyor. Cok sayida Android cihazi yoneten kurumlar guncellemelere oncelik vermeli ve hangi modellerin desteklenmeyen surumlerde kaldigini takip etmeli.