Android işletim sisteminde keşfedilen kritik bir güvenlik açığı, saldırganların kullanıcıların haberi olmadan gönderdikleri SMS mesajlarıyla telefon görüşmelerini kesmesine ve cihazları yeniden başlatma döngüsüne sokmasına olanak tanıyor.
Android işletim sisteminde, milyonlarca akıllı telefonu etkileyebilecek kritik bir güvenlik açığı tespit edildi. “SMS of Death” (Ölüm SMS'i) olarak adlandırılan açık, saldırganların özel olarak hazırlanmış bir SMS göndererek hedef aldıkları telefonları uzaktan devre dışı bırakmasına olanak tanıyor.
REKLAM
REKLAM
Üstelik saldırının gerçekleşmesi için kullanıcının herhangi bir bağlantıya tıklaması, dosya indirmesi veya mesajı açması gerekmiyor.
Güvenlik araştırmacısı Mark Blaszczyk tarafından keşfedilen ve CVE-2026-58882 koduyla takip edilen güvenlik açığı, Android 12'den itibaren kullanılan telefon yazılımındaki bir hatadan kaynaklanıyor.
Blaszczyk'in bulgularına göre saldırı, devam eden telefon görüşmelerini anında sonlandırabiliyor. Bu durum, acil yardım servislerine yapılan çağrıların da kesilebilmesi nedeniyle özellikle ciddi bir güvenlik riski oluşturuyor.
Araştırmacı, saldırının Google Pixel 9 ve çeşitli Samsung Galaxy A serisi telefonlarda başarıyla gerçekleştirildiğini bildirdi.
Kullanıcıların görmediği SMS telefon sistemini çökertiyor
Saldırının temelinde, mobil operatörlerin cihazlara otomatik yapılandırma talimatları göndermesini sağlayan eski bir teknoloji olan WAP Push var.
Normal SMS mesajlarından farklı olarak WAP Push mesajları, kullanıcıların herhangi bir işlem yapmasına gerek kalmadan telefon tarafından işlenebiliyor.
Saldırganlar bu mekanizmadan yararlanarak yalnızca sekiz bayt büyüklüğünde, özel olarak hazırlanmış bir mesaj gönderiyor.
Mesaj, Android'in telefon görüşmelerini yöneten com.android.phone adlı sistem bileşeninin çökmesine neden oluyor.
Bu sırada kullanıcı telefon ekranında herhangi bir mesaj veya bildirim görmüyor. Gönderenin numarası da gelen kutusunda görünmüyor.
Sorunun kaynağı ise Android'in mesaj içindeki sayısal bir değeri işlerken yaptığı veri türü dönüşümü.
Sistem, mesaj başlığının uzunluğunu belirten 2.147.483.648 değerini daha küçük bir veri türüne dönüştürmeye çalışıyor. Ancak gerekli sınır kontrolü yapılmadığından sayı taşması meydana geliyor ve değer -2.147.483.648'e dönüşüyor.
Ortaya çıkan negatif değer, telefon görüşmelerini yöneten sistem bileşeninin çökmesine yol açıyor.
Bu nedenle saldırı sırasında devam eden bütün telefon görüşmeleri, acil yardım çağrıları da dahil olmak üzere aniden kesilebiliyor.
Telefonlar yeniden başlatma döngüsüne girebiliyor
Araştırmacıya göre tek bir zararlı SMS, telefon hizmetinin yaklaşık bir veya iki saniyeliğine kesilmesine neden olabiliyor.
Ancak sorun bununla sınırlı değil.
Telefon mesajın alındığını operatöre bildiremediğinde, operatör aynı mesajı yeniden göndermeyi deneyebiliyor. Ayrıca hatalı mesaj cihazın bekleyen mesajlar kuyruğunda kalabiliyor.
Böylece Android, her yeniden başlatma sırasında aynı mesajı işlemeye çalışıyor ve sistem yeniden çöküyor.
Blaszczyk, yaklaşık 20 zararlı mesaj gönderilmesinin cihazı uzun süre kullanılamaz hale getirebildiğini belirtiyor.
Bu durumda telefon, sürekli yeniden başlatıldığı bir döngüye girebiliyor.
Android'in RescueParty adlı otomatik kurtarma mekanizması, tekrarlanan çökmeler sonrasında cihazı kurtarma moduna yönlendirebiliyor.
Ancak bu aşamada kullanıcılar, telefonu yeniden kullanabilmek için fabrika ayarlarına döndürmek zorunda kalabiliyor. Bu işlem, yedeklenmemiş kişisel verilerin kaybolmasına neden olabilir.
Araştırmacıya göre verileri silmeden kurtarma işlemi gerçekleştirmek de mümkün. Bunun için cihazın bir bilgisayara bağlanması ve Android Debug Bridge (ADB) aracılığıyla sorunlu verilerin temizlenmesi gerekiyor.
Ancak bu yöntem teknik bilgi gerektiriyor ve sıradan kullanıcılar açısından uygulanması güç olabiliyor.
Üstelik operatörün zararlı mesajları yeniden göndermesi halinde fabrika ayarlarına sıfırlama işlemi de tek başına kalıcı çözüm sağlamayabilir.
Google açığı güvenlik sorunu olarak değerlendirmedi mi?
Güvenlik açığının keşfedilmesinin ardından Google'ın verdiği yanıt da tartışma yarattı.
Blaszczyk, sorunu ilk olarak 5 Mayıs 2026'da Google'a bildirdiğini ancak şirketin raporunu bir güvenlik sorunu olarak değerlendirmediğini öne sürdü.
Buna karşın Android'in açık kaynak kod kayıtları, Google mühendislerinin 15 Haziran'da söz konusu hata için bir düzeltme geliştirdiğini gösteriyor.
Düzeltme, hatalı mesajın telefon sistemini tekrar tekrar çökertmesini önleyecek şekilde mesaj işleme mekanizmasını değiştiriyor.
Güvenlik odaklı Android işletim sistemi GrapheneOS'un açıklamasına göre Google, düzeltmeyi temmuz ayında üreticilere yönelik güvenlik önizlemeleri aracılığıyla dağıtmaya başladı.
Blaszczyk ise 29 Ekim'de güvenlik açığının teknik ayrıntılarını ve saldırının gerçekleştirilebildiğini gösteren örnek uygulamayı kamuoyuyla paylaştı.
Araştırmacı, Google'ın güvenlik bildirimini reddetmesine rağmen aynı sorun için yazılım düzeltmesi geliştirmiş olmasının şirket içindeki iletişim eksikliğinden kaynaklanmış olabileceğini düşünüyor.
Ancak Google, bu farklılığın nedenine ilişkin kamuoyuna ayrıntılı bir açıklama yapmış değil.
Hangi Android telefonlar risk altında?
Güvenlik açığının Android 12'ye kadar uzanan bir kod hatasından kaynaklandığı belirtiliyor.
Araştırmacıya göre Google, düzeltmeyi Android 14, 15, 16 ve 17 için Ekim 2026 güvenlik güncellemelerine dahil etti.
GrapheneOS ise açığın kasım ayındaki Android güvenlik bülteninde resmen duyurulacağını bildirdi.
Bu iki tarih birbiriyle çelişmek zorunda değil. Google, güvenlik düzeltmelerini kamuoyuna duyurmadan önce telefon üreticilerine ulaştırabiliyor.
Ancak güncellemenin farklı üreticilerin cihazlarına ne zaman dağıtıldığı henüz netleşmiş değil.
Özellikle güvenlik güncellemesi desteği sona ermiş eski Android telefonların risk altında kalabileceği belirtiliyor.
Araştırmacı, Nisan 2026 güvenlik yazılımını çalıştıran Pixel 9 ve çeşitli Samsung Galaxy A serisi cihazlarda yaptığı testlerde saldırıyı her denemede başarıyla tekrarladığını açıkladı.
Bununla birlikte bu sonuçlar, aynı modellerin güncel güvenlik yamalarını yüklemiş bütün sürümlerinin savunmasız olduğu anlamına gelmiyor.
Android kullanıcıları ne yapmalı?
Uzmanların önerdiği en önemli önlem, cihazlara sunulan en güncel Android güvenlik yamalarının yüklenmesi.
Kullanıcılar telefonlarının ayarlar bölümünden Android sürümünü ve güvenlik güncellemesi tarihini kontrol edebilir.
Ancak yalnızca Android sürümünün güncel olması, cihazın mutlaka korunduğu anlamına gelmiyor. Güvenlik düzeltmesinin telefon üreticisi tarafından ilgili modele dağıtılmış olması gerekiyor.
Saldırının görünmez SMS mesajları üzerinden gerçekleştirilebilmesi nedeniyle şüpheli bağlantılara tıklamamak veya bilinmeyen numaralardan gelen mesajları açmamak gibi geleneksel güvenlik önlemleri, bu özel saldırıyı engellemek için yeterli değil.
Güvenlik açığının kamuoyuna açıklanması ve örnek saldırı kodlarının yayımlanmasının ardından, güncelleme almayan Android cihazların ne ölçüde risk altında kalacağı önem taşıyor.