Android cihazlarda ortaya çıkarılan yeni bir güvenlik açığı, kullanıcı hiçbir işlem yapmadan gönderilen özel hazırlanmış bir SMS ile telefon görüşmelerinin kesilmesine ve mobil bağlantı hizmetinin çökmesine yol açabiliyor. “SMS of Death” adı verilen açık, saldırının tekrarlanması durumunda cihazı yeniden başlatma döngüsüne kadar sürükleyebiliyor.
Daha da önemlisi, güvenlik araştırmacısının testlerine göre devam eden acil durum aramaları da saldırı nedeniyle kesilebiliyor.
Güvenlik araştırmacısı Mark Blaszczyk tarafından açıklanan sorun Android’in WAP Push mesajlarını işleyen telefon altyapısında bulunuyor. Zararlı mesaj normal bir SMS gibi gelen kutusunda görünmediğinden kullanıcının saldırının gerçekleştiğini fark etmesi de oldukça zor.
SMS of Death Android telefonları nasıl etkiliyor?
Açığın temelinde Android’in WapPushOverSms bileşeninin özel hazırlanmış bir WAP Push mesajındaki başlık uzunluğunu işlerken gerçekleştirdiği hatalı bir işlem bulunuyor.
Manipüle edilmiş veri işlendiğinde Android’in telefon hizmetlerinden sorumlu com.android.phone süreci çökebiliyor. Bunun sonucunda hücresel servis kısa süreliğine devre dışı kalıyor ve o sırada devam eden bir telefon görüşmesi varsa görüşme sonlandırılıyor.
Araştırmacının yayımladığı teknik verilere göre saldırının önemli özellikleri şöyle:
- Kullanıcının bağlantıya dokunması veya mesaj açması gerekmiyor.
- Zararlı SMS gelen kutusunda görünmüyor.
- Devam eden telefon görüşmeleri kesilebiliyor.
- Acil servis aramaları da etkilenebiliyor.
- Telefon hizmeti her mesajda yaklaşık birkaç saniyeliğine yeniden başlatılabiliyor.
- Operatör mesajı yeniden teslim etmeye çalışırsa sorun tekrarlanabiliyor.
Araştırmacı, test sırasında yaklaşık 20 zararlı mesajın cihazı uzun süre kullanılamaz hale getirebildiğini belirtiyor.
Telefon yeniden başlatma döngüsüne girebiliyor
Sorunun yalnızca anlık bir telefon görüşmesi kesintısından ibaret olmadığı belirtiliyor.
Zararlı mesaj Android’in bekleyen SMS veritabanında kalırsa sistem telefonu yeniden başlattıktan sonra mesajı tekrar işlemeye çalışabiliyor. Aynı hata yeniden tetiklendiğinde telefon tekrar çökebiliyor ve böylece cihaz bir bootloop yani sürekli yeniden başlatma döngüsüne girebiliyor.
Araştırmacının testlerinde tek bir mesajın operatör tarafından yeniden gönderilmesi nedeniyle kesintilerin uzun süre devam edebildiği de gözlemlendi.
Teknik kullanıcılar ADB üzerinden problemli SMS kayıtlarını temizleyerek telefonu fabrika ayarlarına döndürmeden kurtarabiliyor. Ancak bu yöntem bilgisayar bağlantısı ve Android hata ayıklama araçlarının kullanılmasını gerektirdiğinden sıradan kullanıcılar açısından pratik bir çözüm değil.
Pixel ve Samsung Galaxy telefonlarda test edildi
SMS of Death saldırısı araştırmacı tarafından Google Pixel 9 ve çeşitli Samsung Galaxy ile Galaxy A serisi cihazlarda başarıyla yeniden oluşturuldu.
Araştırmacının açıklamasına göre sorun Android 12 döneminden beri kullanılan telefon altyapısı kodlarında bulunuyor. Açığın Android 12’den Android 16’ya kadar farklı sürümlerde yeniden üretilebildiği belirtilirken Google’ın hazırladığı düzeltme Android 14, Android 15, Android 16 ve Android 17 kod tabanları için yayımlandı.
Bu durum özellikle artık güvenlik güncellemesi almayan Android 12 ve Android 13 cihazları açısından önemli.
Üretici tarafından destek süresi sona ermiş bir telefonda ilgili güvenlik yaması yayımlanmayabilir.
Google aslında düzeltmeyi aylar önce hazırlamış
Konunun en dikkat çekici bölümlerinden biri Google ile araştırmacı arasındaki güvenlik bildirimi süreci.
Blaszczyk açığı 5 Mayıs 2026 tarihinde Google’ın Android ve Devices Vulnerability Reward Program sistemine bildirdiğini söylüyor. Araştırmacının açıklamasına göre bildirim güvenlik problemi olarak değerlendirilmedi.
Buna rağmen Android Açık Kaynak Projesi kayıtları Google mühendislerinin 15 Haziran 2026 tarihinde aynı probleme yönelik bir düzeltme hazırladığını açıkça gösteriyor.
AOSP değişikliğinin açıklamasında doğrudan “Fix remote DoS in decodeWapPdu”, yani uzaktan hizmet engelleme sorununu düzeltme ifadesi kullanılıyor.
Google’ın çözümü hatalı WAP Push mesajının sistemi sürekli çökertmesini önlüyor. Güncellenen kod, mesaj işlenirken oluşan çalışma zamanı hatasını yakalıyor ve problemli mesajı SMS veritabanından kaldırıyor.
Böylece zararlı mesajın her yeniden başlatmada tekrar işlenerek telefonu yeniden çökertmesinin önüne geçiliyor.
CVE-2026-58882 ve güvenlik güncellemesi konusunda durum ne?
GrapheneOS’un yayımladığı güvenlik önizleme kayıtlarında açık CVE-2026-58882 kimliğiyle ve Critical (Kritik) önem seviyesinde listeleniyor.
Aynı CVE, GrapheneOS’un gelecek Android güvenlik yamalarını önceden içeren güvenlik önizleme sürümlerinde de bulunuyor.
Ancak burada önemli bir ayrıntı bulunuyor.
Google’ın 5 Ekim 2026 tarihinde yayımladığı resmi Android Security Bulletin – October 2026 sayfasında CVE-2026-58882 listelenmiş değil. Bu nedenle açığın resmi Android Güvenlik Bülteni kaydının Kasım 2026 bülteniyle yayımlanması bekleniyor.
Bununla birlikte düzeltmenin kendisi cihaz üreticilerine daha erken ulaştırılmış olabilir. Google da Android güvenlik ortaklarının yamalar konusunda bülten yayımlanmadan önce bilgilendirildiğini belirtiyor.
Araştırmacının verilerine göre ilgili düzeltme Android 14-17 için Ekim 2026 güvenlik güncellemelerine dahil edildi.
Bu yüzden CVE’nin kamuya açık bültende görünme tarihi ile kod düzeltmesinin cihazlara dağıtılmaya başlanması aynı olmak zorunda değil.
Pixel kullanıcıları güncellemelerini kontrol etmeli
Google’ın Ekim 2026 Pixel güvenlik bültenine göre desteklenen Pixel cihazlar 2026-10-05 güvenlik yaması seviyesine yükseltiliyor.
Google desteklenen tüm Pixel cihaz sahiplerine güncellemeleri yüklemelerini öneriyor.
Samsung, Xiaomi, OnePlus, Honor, Oppo, Vivo ve diğer Android üreticilerinde ise güncellemenin dağıtım tarihi modelden modele değişebilir.
Bu nedenle yalnızca Android sürüm numarasına bakmak yeterli değil.
Telefonunuzda:
Ayarlar > Güvenlik ve gizlilik > Sistem ve güncellemeler > Güvenlik güncellemesi
benzeri menü üzerinden Android güvenlik yaması seviyesini kontrol etmek faydalı olacaktır. Menü isimleri üreticiye göre değişiklik gösterebilir.
Türkiye’deki Android kullanıcıları ne yapmalı?
SMS of Death için kullanıcı tarafında saldırıyı tamamen engelleyen özel bir ayar bulunmuyor. Çünkü açık normal mesajlaşma uygulamasından ziyade Android’in telefon ve WAP Push altyapısını hedefliyor.
Bu nedenle Türkiye’deki kullanıcılar açısından en önemli önlem telefon üreticisinin sunduğu en güncel Android güvenlik güncellemesini yüklemek.
Özellikle güvenlik desteği sona ermiş Android 12 veya Android 13 cihaz kullananların üreticilerinin güncelleme politikasını kontrol etmesi önem taşıyor.
Telefonunuz beklenmedik şekilde tekrar tekrar yeniden başlıyor, mobil şebeke sürekli gidip geliyor veya görüşmeler açıklanamayan biçimde kesiliyorsa sorunun mutlaka SMS of Death saldırısından kaynaklandığı söylenemez. Ancak benzer belirtiler yaşanıyorsa cihazın güvenlik güncelleme durumunun kontrol edilmesi doğru ilk adımlardan biri olacaktır.
Şu ana kadar yayımlanan bilgiler, açığın gerçek dünyada geniş çaplı saldırılarda aktif olarak kullanıldığını göstermiyor.
Buna rağmen kullanıcı etkileşimi gerektirmemesi, mesajın görünür olmaması ve telefon görüşmelerini etkileyebilmesi nedeniyle SMS of Death Android tarafında ciddiye alınması gereken güvenlik açıklarından biri olarak öne çıkıyor.
