A modern operációs rendszerekben rengeteg sérülékenység lappang, az online kapcsolattal rendelkező okostelefonok különösen sok fenyegetésnek vannak kitéve. Ugyanakkor számos esetben elég a legalapvetőbb technológiákat használni, hogy a felhasználóknak kellemetlenséget okozzanak a “kiberbűnözők”, most erre láthatunk egy jó példát.
Mark Blaszczyk biztonsági kutató egy új, aggasztó sebezhetőséget fedezett fel, amely az Android 12 vagy újabb verziót futtató telefonokat érinti. A sebezhetőség kihasználásához pedig elég egyetlen speciális SMS-t küldeni a készülékre.
A sebezhetőséget felfedező Blaszczyk adta a sérülékenységnek a “Halálos SMS” nevet, ami nem túl fantáziadús, de a lényeget elég egyértelműen leírja. Hiszen amint egy ilyen üzenetet kap a mobil, rögtön össze fog omlani, már amennyiben még nem kapta meg az ellenszert, a javítást. Az SMS sehol nem jelenik meg, nem akkor aktiválódik, ha megnyitják, a felhasználó nem tud arról, hogy mi történt a háttérben.
A zero-click szolgáltatásmegtagadásos sebezhetőség abból áll, hogy a felhasználó egy speciálisan kialakított WAP push SMS üzenetet kap, amelyet az Android okostelefonos keretrendszere nem tud megfelelően feldolgozni, emiatt összeomlik. Ezzel egy modern mobilt teljesen térdre lehet kényszeríteni, ha valaki nagyobb mennyiségben szórja meg ilyen üzenetekkel.
A WAP push egy régi technológia, amelyet a mobilhálózatok üzemeltetői használnak konfigurációs utasítások mobiltelefonra történő elküldésére, ma erre már nincs szükség, és a mai mobilok nem is tudnak már mit kezdeni azzal, ha egy ilyen “levelet” dobnak be a postaládájukba. Ha pedig túlterheléses támadáshoz hasonlóan, nagyobb hullámban kapják ezeket, akkor egyáltalán nem tudnak megbirkózni a helyzettel, és folyamatos összeomlási hurokba kerülhetnek.
A sebezhetőség adatok eltulajdonítására nem alkalmas, viszont egy védtelen okostelefonra küldött Halálos SMS-sel elérhető például, hogy a felhasználó ne tudjon senkit elérni, képtelen legyen segélyhívást indítani, és a folyamatban lévő hívások is azonnal meg fognak szakadni. Ha pedig egy ilyen támadási hullám éri a készüléket, akkor az is elképzelhető, hogy csak a gyári állapot visszaállítását követően lehet majd újra életre kelteni.
Hivatalosan a CVE-2026-58882 azonosító alatt fut ez a biztonsági rés, és már van rá javítás, mivel Blaszczyk korábban felvette a kapcsolatot a Google-lel, a keresőóriás szakemberei pedig gondoskodtak a probléma megoldásáról. A javított rendszer a dekódolási hiba fellépésekor nem omlik össze, hanem azonnal felismeri a kártékony adatcsomagot, és automatikusan törli.
A hibát a biztonsági kutató 2026 májusában jelezte a fejlesztőknek. A vizsgálatok megerősítették, hogy a sérülékenység reprodukálható volt többek között a Google Pixel és a Samsung Galaxy készülékeken is. Minden eszköz érintett lehetett Android 12-től, de az Android 17-re mostanában frissülő mobilok már automatikusan védettek lesznek ez ellen.
A Google októberi biztonsági frissítésének része ez a javítás, ezáltal minden támogatott készülékre zökkenőmentesen eljuthat a következő időszakban.
Szerencsére ma már minden eddiginél több okostelefont frissítenek a felhasználók, és a gyártók is igyekeznek a biztonsági javításokat minél hosszabb ideig szállítani a készülékeikre. Ezeket a csomagokat mindig a lehető leghamarabb érdemes telepíteni, a problémák megelőzése érdekében. A mostani sebezhetőség esetében nem kell tartani, hogy bárki tömeges visszaélést követne el.
