Android'de 'SMS of Death' Açığı: Tek Mesaj Aramaları Kesip Telefonu Kilitleyebiliyor

Güvenlik araştırmacısı Mark Blaszczyk, Android telefonlara gönderilen özel hazırlanmış tek bir SMS ile aktif aramaların kesilebildiğini ve telefonun şebeke bağlantısının düşürülebildiğini ortaya koydu. "SMS of Death" (Ölüm SMS'i) olarak anılan açık için düzeltme Ekim 2026 Android güvenlik yamasıyla geldi; ancak eski Android sürümleri bu yamanın dışında kaldı.

Açık nasıl çalışıyor?

GSMArena ve Cybernews'in aktardığına göre sorun, WAP Push adı verilen özel bir SMS türünden kaynaklanıyor. Android bu mesajı gelen kutusunda göstermek yerine arka planda işlemeye çalışıyor ve hatalı biçimlendirilmiş mesaj telefonun arama ve şebeke işlerini yürüten bileşeni çökertiyor. Cybernews'e göre mesaj kullanıcıya görünmüyor.

Saldırının en dikkat çekici yanı, kullanıcının hiçbir şey yapmasına gerek olmaması. Bir linke tıklamak ya da dosya açmak gerekmiyor; GSMArena bunun bir oltalama (phishing) saldırısı olmadığını vurguluyor.

Telefonda neler oluyor?

Kaynaklara göre açık tetiklendiğinde:

• Devam eden aramalar kesiliyor; Cybernews'e göre buna acil durum aramaları da dahil,
• Telefon kısa süreliğine şebeke bağlantısını kaybediyor,
• Birden fazla mesaj alındığında cihaz kullanılamaz hâle gelebiliyor.

Cybernews, mesajın kuyrukta kalıp her açılışta yeniden işlenebildiğini, bunun da telefonun sürekli yeniden başlama döngüsüne girmesine yol açabileceğini yazıyor. Bu durumda Android'in kurtarma özelliği cihazı kurtarma moduna alabiliyor ve bu da fabrika ayarlarına sıfırlamaya kadar gidebiliyor. Habere göre açığı gösteren bir kavram kanıtı kodu GitHub'da herkese açık.

Teknik neden ne?

Cybernews'in aktardığına göre saldırı için yalnızca 8 baytlık bir veri yetiyor. Android, mesajdaki büyük bir sayısal değeri aralık kontrolü yapmadan daha küçük bir veri türüne dönüştürüyor; değer taşarak negatif bir sayıya dönüşüyor ve bu da ölümcül bir hataya yol açıyor. Mesaj telefon tarafından onaylanmadığı için operatörler aynı mesajı yeniden gönderebiliyor. Araştırmacı, Nisan 2026 yazılımını kullanan bir Pixel 9 ve birkaç Samsung Galaxy A serisi cihazda çökmenin her denemede tekrarlandığını bildirdi.

Cybernews, yeniden başlama döngüsüne giren bir cihazı kurtarmanın teknik bilgi gerektirdiğini yazıyor: Telefonun başka bir bilgisayara ADB ile bağlanması ve açılıştan kısa süre sonra belirli verilerin silinmesi gerekiyor. GSMArena da kurtarma için teknik destek gerektiğinin bildirildiğini belirtiyor.

Hangi telefonlar etkileniyor?

Araştırmacı açığı Google Pixel ve Samsung Galaxy telefonlarda doğruladı. GSMArena, Android 12 ve sonrasını çalıştıran tüm cihazların açıktan etkilendiğini belirtiyor. Açık Google'a Mayıs 2026'da bildirildi.

Düzeltme, Android 14 ve sonrası için yayımlanan Ekim 2026 güvenlik yamasında yer alıyor. GSMArena'ya göre Android 12 ve 13 bu yamanın kapsamında değil ve bu sürümleri kullananlar hâlâ risk altında. Yamanın her marka ve modele ne zaman ulaşacağı üreticiye göre değişiyor; Türkiye'deki cihazlar için ayrı bir tarih açıklanmadı.

Kullanıcılar ne yapmalı?

Kaynaklar, kullanıcı tarafında açığı tamamen kapatan basit bir ayar bulunmadığını belirtiyor. En etkili korunma yolu güvenlik güncellemelerini zamanında yüklemek:

1. Ayarlar > Güvenlik (ya da Ayarlar > Yazılım güncelleme) bölümünden telefonunuzun güvenlik yaması tarihine bakın; Ekim 2026 veya sonrası değilse mevcut güncellemeleri yükleyin.
2. Güncelleme görünmüyorsa üreticinizin destek sayfasından modelinizin yama takvimini kontrol edin.
3. Android 12 veya 13 kullanıyorsanız ve cihazınız artık güncelleme almıyorsa, güvenlik desteği süren bir cihaza geçmeyi değerlendirin.
4. Önemli verilerinizi düzenli yedekleyin; olası bir fabrika ayarlarına sıfırlamada kayıp yaşamazsınız.