Tek bir mesaj Android telefonları çökertiyor; Android 12 ve 13 için yama çıkmayacak

Bir araştırmacı, telefon numaranızı bilen herkesin tek bir kısa mesajla telefonunuzu çökertmesine imkân veren bir Android açığı için çalışan saldırı kodunu yayımladı. “Ölüm SMS’i” lakaplı mesaj gelen kutunuzda görünmüyor ve herhangi bir dokunuş gerektirmiyor. Aramaları ve mobil şebeke sinyalini yöneten Android bileşenini devre dışı bırakıyor; acil servislere yapılanlar da dâhil, sürmekte olan tüm aramaları kesiyor. Google mevcut Android sürümleri için açığı giderdi, ancak güvenlik güncellemesi almayı bırakmış eski telefonlar risk altında kalacak.

Çoğu kişi için yanıtlanması gereken soru basit: Telefonunuza en son güvenlik güncellemesi yüklendi mi? Açık, tüm üreticilerin kullandığı Android’in temel telefon hizmetleri kodunda yer alıyor; dolayısıyla belirli bir markayla sınırlı değil. Mark B adıyla paylaşım yapan araştırmacı, henüz yamayı almamış bir Google Pixel’de ve daha uygun fiyatlı A serisi modellerin de aralarında bulunduğu birkaç Samsung Galaxy telefonda çökme sorununun her denemede tekrarlandığını söylüyor.

Saldırı, operatörlerin telefonlara arka planda ayar göndermek için kullandığı eski bir mesaj biçimi olan WAP Push’tan yararlanıyor. Hatalı biçimlendirilmiş bir mesaj, Android’in bellekte negatif miktarda yer ayırmaya çalışmasına yol açıyor ve aramalarla sinyali yöneten işlem çöküyor. Her mesaj, kurbanı bir iki saniyeliğine hizmet alamaz hâle getiriyor. Asıl zararı ise mesajların tekrarlanması veriyor. Operatörler, telefonun alındığını bildirmediği mesajları yeniden gönderiyor; araştırmacının testlerinde tek bir mesaj, kesintilerin bir haftaya kadar aralıklarla sürmesine neden oldu. Yaklaşık 20 mesaj ise telefonu kullanılamaz hâle getirdi.

Zararlı mesajlar kuyrukta kalıyor ve telefon her açıldığında yeniden işleniyor. Testlerdeki Android 12 yüklü telefonlardan biri yaklaşık her 90 saniyede bir kurtarma moduna yeniden başladı. Bu döngüden sıradan bir kullanıcının çıkabilmesinin tek yolu, cihazdaki her şeyi silen fabrika ayarlarına sıfırlamaydı. Sakis adıyla bilinen bir proje katılımcısı, yalnızca sorunlu mesajları silmenin bir yolunu buldu; ancak bunun için bir bilgisayar, Android’in geliştirici araçları ve her yeniden başlatmanın ardından açılan kısa süre içinde doğru zamanlama gerekiyor.

Açığı Avustralya’nın Triple Zero acil numarası üzerinden ele alan araştırmacı, ülkede ortaya çıkabilecek tuhaf bir yan etkiye de dikkat çekiyor. Avustralya kuralları, acil servislere ulaşamayan telefonların operatörler tarafından tespit edilmesini ve sonunda şebekeden çıkarılmasını zorunlu kılıyor. Telstra da sorun 28 gün içinde giderilmezse bu tür telefonları engellediğini söylüyor. Araştırmacının yorumuna göre, telefonu istenildiği anda acil arama yapamaz hâle getirebilen bir saldırgan, kurbanın kendi cihazının şebekeden engellenmesine yol açabilir.

Ancak paniğe kapılmamak için bazı nedenler var. Bu, bir sisteme sızma değil, hizmet engelleme saldırısı: Mesaj verilerinizi okuyamıyor, herhangi bir şey yükleyemiyor ya da telefonun kontrolünü ele geçiremiyor. Saldırganın numaranızı ve ham veri mesajları göndermenin bir yolunu bulması gerekiyor. Yayımlanan araç, bu mesajları SIM kart takılı başka bir Android telefondan gönderiyor; dolayısıyla operatörde bir kayıt oluşuyor. Şu ana kadar açığın gerçek kişilere karşı kullanıldığına ilişkin kamuya açık bir bildirim yok. BleepingComputer’ın da belirttiği gibi, Google’ın ekim ayı güvenlik bülteninde de düzeltmeden söz edilmiyor. Bu nedenle eski telefonların sahipleri, risk altında olduklarına dair resmî bir uyarı almadı.

Kontrol etmek için Ayarlar’ı açıp Telefon hakkında veya Güvenlik bölümüne gidin ve Android güvenlik güncellemesinin tarihine bakın. Ekim 2026 veya sonrasına ait güncellemeler düzeltmeyi içeriyor. Samsung, Motorola, Xiaomi ve diğer üreticiler yamaları kendi takvimlerine göre yayımlıyor; operatörler de güncellemeleri geciktirebiliyor. Bu nedenle daha yeni bir Android sürümü kullanan bir telefon bile yamayı bekliyor olabilir. Android 12 veya 13’te kalan telefonlar için tam korumanın tek yolu, hâlâ güncelleme alan bir cihaza geçmek.

Araştırmacı açığı 5 Mayıs’ta Google’ın Android güvenlik açığı ödül programına bildirdi. Bir Google mühendisi düzeltmeyi haziran ortasında yazdı; yama, Android 14’ten 17’ye kadar olan sürümlere yönelik Ekim 2026 güvenlik güncellemesiyle yayımlandı. Kamuya açık açıklama ve kavram kanıtı kodu ise 29 Ekim’de paylaşıldı. Google, araştırmacının önerdiği uzunluk kontrolünü eklemedi: Yama çökme sorununu yakalıyor ve sorunlu mesajı silerek yeniden çalışmasını önlüyor.

Böylece eski Android telefonlar tuhaf bir durumda kalıyor. Normal şekilde arama yapmaya devam ediyorlar. Ancak bir aramayı tamamlayabileceklerinin garantisi yok.

Etiketler: Google, siber güvenlik, Android, Google Pixel, Samsung Galaxy, BleepingComputer