Android işletim sisteminde keşfedilen kritik bir güvenlik açığı, saldırganların yalnızca özel olarak hazırlanmış bir SMS göndererek akıllı telefonların iletişim hizmetlerini çökertmesine ve cihazları kullanılamaz hale getirmesine neden olabiliyor. SMS of Death (Ölüm SMS’i) olarak adlandırılan saldırı, Android 12 ve sonraki sürümlerde bulunan bir güvenlik açığından yararlanıyor.

Kullanıcının mesajı açmasına, herhangi bir bağlantıya tıklamasına veya işlem yapmasına gerek kalmadan gerçekleştirilebilen saldırı, devam eden telefon görüşmelerini ve acil yardım çağrılarını da kesebiliyor.

Güvenlik araştırmacısı Mark Blaszczyk tarafından keşfedilen açık, Android’in SMS mesajlarını işleyen telefon altyapısında bulunuyor. Sorun, WAP Push adı verilen ve operatörlerin cihazlara servis mesajları göndermesine olanak tanıyan sistemden kaynaklanıyor. Normal SMS mesajlarından farklı olarak WAP Push üzerinden iletilen veriler, mesajlaşma uygulamasına ulaşmadan önce işletim sistemi tarafından arka planda işleniyor.

Saldırgan tarafından gönderilen özel olarak hazırlanmış SMS, Android’in WapPushOverSms bileşenindeki veri işleme hatasını tetikliyor. Mesajın başlık uzunluğu hesaplanırken oluşan hata, telefon görüşmelerinden sorumlu com.android.phone işleminin çökmesine neden oluyor. İşletim sistemi bu hatayı düzgün şekilde karşılayamadığında telefonun hücresel bağlantısı geçici olarak kesiliyor.

Saldırının gerçekleştirilebilmesi için hedef alınan kişinin telefon numarasının bilinmesi yeterli. Kullanıcının mesajı okuması, bir dosya indirmesi veya bağlantıya tıklaması gerekmiyor. Üstelik gönderilen zararlı SMS, mesajlaşma uygulamasının gelen kutusunda görünmüyor ve herhangi bir bildirim oluşturmuyor. Kullanıcı, saldırıyı gerçekleştiren telefon numarasını da göremiyor.

Güvenlik açığının en ciddi sonuçlarından biri, devam eden telefon görüşmelerini aniden sonlandırabilmesi. Zararlı SMS alındığında Android’in telefon hizmeti çöküyor ve hücresel bağlantı kısa süreliğine devre dışı kalıyor.

Bu sırada yapılan normal aramalarla birlikte acil yardım çağrıları da kesilebiliyor. Testlerde her mesajın telefon hizmetinde yaklaşık bir ila iki saniyelik kesintiye neden olduğu belirlendi.

Sorun yalnızca bağlantının kısa süreli kesilmesiyle sınırlı değil. Android, işleyemediği zararlı mesajı bekleyen SMS kuyruğunda tutabiliyor ve telefon yeniden başlatıldığında aynı mesajı tekrar işlemeye çalışıyor. Bu işlem aynı hatayı yeniden tetiklediği için cihaz sürekli çökme ve yeniden başlatılma döngüsüne girebiliyor.

Mobil operatörlerin teslim edildiği doğrulanmayan SMS mesajlarını yeniden göndermesi de sorunun devam etmesine neden olabiliyor. Gerçekleştirilen testlerde tek bir zararlı mesajın bir haftaya kadar aralıklı bağlantı kesintileri oluşturabildiği görüldü. Yaklaşık 20 zararlı mesajın gönderilmesi ise telefonun uzun süre kullanılamaz hale gelmesine yol açabiliyor.

Cihazın bu duruma düşmesi halinde normal yeniden başlatma işlemi sorunu her zaman ortadan kaldırmıyor. Android’in RescueParty kurtarma mekanizması, sürekli çöken sistemlerde telefonu kurtarma moduna yönlendirebiliyor. Android 12 üzerinde gerçekleştirilen bir testte cihazın yaklaşık 90 saniyelik aralıklarla kurtarma sürecine girdiği kaydedildi.

Telefonu fabrika ayarlarına döndürmeden kurtarmak için Android Debug Bridge (ADB) üzerinden müdahale edilebiliyor. Bilgisayar bağlantısı kullanılarak bekleyen SMS kuyruğundaki zararlı mesajların temizlenmesi gerekiyor.

Ancak bu işlem teknik bilgi ve uygun hata ayıklama erişimi gerektiriyor. Fabrika ayarlarına sıfırlama işlemi ise cihazdaki kişisel verilerin silinmesine neden olabiliyor. Operatörün zararlı mesajı yeniden göndermesi durumunda sıfırlama işlemi sonrasında da aynı sorun yaşanabiliyor.

Güvenlik açığı, Google Pixel ve Samsung Galaxy modellerinde gerçekleştirilen testlerde doğrulandı. Test edilen cihazlar arasında Nisan 2026 güvenlik yazılımını kullanan Pixel 9 ile farklı Samsung Galaxy ve Galaxy A serisi telefonlar bulunuyor. Soruna neden olan kod Android’in temel telefon altyapısında yer aldığı için güvenlik düzeltmesini almamış diğer Android cihazlar da risk altında.

Araştırmacı Blaszczyk, güvenlik açığını ilk olarak 5 Mayıs 2026 tarihinde Google’a bildirdi. Ancak Google’ın güvenlik açığı bildirim programı, sorunu güvenlik açığı kapsamında değerlendirmedi ve bildirimi kapattı. Blaszczyk, 29 Ekim 2026 tarihinde güvenlik açığının teknik ayrıntılarını ve çalışır durumdaki bir saldırı örneğini kamuoyuyla paylaştı.

Google’ın Android mühendisleri ise 15 Haziran 2026 tarihinde sorunu gideren bir yazılım düzeltmesi hazırlamıştı. Android Açık Kaynak Projesi’ne (AOSP) eklenen düzeltme, sistemin hatalı SMS verisini işlerken çökmesini önleyecek şekilde düzenlendi.

Güncellenen kod, oluşabilecek çalışma zamanı hatalarını karşılıyor ve soruna neden olan mesajı bekleyen SMS kuyruğundan kaldırıyor. Böylece aynı mesajın yeniden işlenerek telefon hizmetini tekrar çökertmesi engelleniyor.

CVE-2026-58882 numarasıyla takip edilen güvenlik açığı kritik önem derecesiyle sınıflandırıldı. Android 12 ve Android 13 sürümlerinde bulunan sorun için bu sürümlere yönelik bir güvenlik düzeltmesi yayımlanmadı. Android 14, Android 15, Android 16 ve Android 17 için ise düzeltme hazırlandı.

Güvenlik güncellemesinin dağıtım takviminde farklı tarihler bulunuyor. Düzeltme, temmuz ayında üreticilere sunulan Android güvenlik önizleme paketlerine dahil edildi. Android 14 ve sonraki sürümler için Ekim 2026 güvenlik güncellemeleriyle dağıtıldığı belirtilen düzeltmenin CVE kaydı, Google’ın ekim ayı güvenlik bülteninde henüz yer almıyor. Açığın kasım ayı Android güvenlik bültenine dahil edilmesi bekleniyor.

Güncellemenin bütün Android telefonlara aynı anda ulaşması söz konusu değil. Google tarafından hazırlanan düzeltmelerin Samsung, Xiaomi, OPPO ve diğer üreticilerin cihazlarına ulaşması, ilgili üreticilerin yazılım güncelleme takvimine bağlı. Bu nedenle Android 14 veya daha yeni bir sürümü kullanmak tek başına güvenlik açığının kapatıldığı anlamına gelmiyor.

Android kullanıcıları, telefonlarının Ayarlar menüsündeki yazılım güncelleme veya güvenlik güncellemesi bölümünden mevcut yama seviyesini kontrol edebiliyor. Desteklenen cihazlarda en yeni güvenlik güncellemesinin yüklenmesi gerekiyor. Android 12 ve Android 13 kullanan, artık güvenlik güncellemesi almayan telefonlar için ise henüz bu açığı kapatan bir düzeltme bulunmuyor.