Lume: un SMS invizibil poate bloca telefoanele cu Android 12–17, spune un cercetător în securitate

Potrivit lui Blaszczyk, victima nu trebuie să facă nimic: mesajul nu apare în căsuța de mesaje, iar telefonul îl procesează în fundal^2,3 . Un apel aflat în desfășurare, inclusiv unul la numărul de urgență, se întrerupe fără ca cel vizat să poată împiedica asta^2,3 .

Google a corectat eroarea în codul Android și a furnizat o corecție pentru Android 14–17, dar momentul în care ajunge pe un telefon anume depinde de producător^1,2,3 . Cine nu are un Pixel, telefonul făcut de Google, poate aștepta săptămâni sau chiar luni, estimează Handelsblatt¹ . Pe Android 12 și 13, care nu mai primesc suport de la Google, vulnerabilitatea rămâne cel mai probabil nereparată, dacă producătorii nu fac singuri o corecție, estimează heise online^1,2 .

Mesajul prelucrat automat repetă blocajul la fiecare repornire

Atacul folosește WAP Push, un sistem vechi prin care operatorii de telefonie trimit telefoanelor instrucțiuni ascunse, de exemplu ca să preia setările rețelei² . Blaszczyk spune că ajunge un singur mesaj de acest tip, modificat: din cauza unei erori de prelucrare, serviciul de telefonie al Android se oprește² .

La fiecare repornire, Android încearcă să prelucreze din nou același mesaj, așa că blocajul se repetă² . Fără corecție, telefonul repornește, potrivit cercetătorului, cam la 90 de secunde și cere, în modul de recuperare, ștergerea datelor^1,2 . Operatorii retrimit mesajele neconfirmate: în testele lui, un singur SMS a produs defecțiuni timp de până la o săptămână, iar circa 20 de mesaje pot face telefonul practic inutilizabil² . Cercetătorul spune că a reprodus eroarea în 100% din testele sale, inclusiv pe un Pixel 9 și pe mai multe telefoane Samsung Galaxy² .

În modul de recuperare nu trebuie aleasă opțiunea „Ștergerea datelor”, care șterge toate datele, avertizează cercetătorul^2,3 . Telefonul poate fi repus în funcțiune, spune el, cu ajutorul unui computer, prin instrumentul Android Debug Bridge (ADB)^2,3 ; Handelsblatt le recomandă celor fără experiență să ceară ajutorul unui specialist^1,3 .

Raportul a fost închis la început, iar corecția a devenit publică abia în octombrie

Blaszczyk spune că l-a informat pe Google pe 5 mai; vulnerabilitatea poartă codul CVE CVE-2026-58882² . Google a închis însă mai întâi raportul cu eticheta „Nu va fi reparată”² . Proiectul GrapheneOS presupune că a fost o greșeală internă de comunicare² .

Google a pregătit „o corecție la 15 iunie”Originalul · de · sursa 2, heise online„15. Juni eine Korrektur” · www.heise.de ↗, înregistrată în cod la 5 august, dar publicată în codul-sursă Android abia în octombrie^2,7 . „Potrivit GrapheneOS, Google pusese o corecție la dispoziție încă din iulie, prin versiuni anticipate ale actualizărilor de securitate”Originalul · de · sursa 2, heise online„Laut GrapheneOS hat Google einen Patch bereits im Juli über Sicherheitsvorschauen bereitgestellt” · www.heise.de ↗² . Corecția pentru Android 14–17 a fost furnizată în octombrie, însă vulnerabilitatea nu apare în buletinul de securitate din acea lună; Google ar urma să o includă în cel din noiembrie, cu gravitate critică² .