كشف باحث أمني عن ثغرة استغلال (proof-of-concept) جديدة أطلق عليها اسم «SMS of Death» وتُتابع تحت مُعرّف CVE-2026-58882، والتي تُصيب هواتف Android غير المحدّثة. تُتيح هذه الثغرة للمهاجمين تعطيل خدمة الاتصال الخلوي أو إسقاط الهواتف عن بُعد، وذلك بمجرد إرسال رسالة نصية مُصممة خصيصًا.
ما يثير القلق هو أن هذا العيب يُعد هجوم حرمان من الخدمة (Denial-of-Service) بدون نقرة (zero-click)، مما يعني أنه يُمكنه قطع المكالمات الجارية، بما في ذلك مكالمات الطوارئ، دون أي تفاعل من الضحية. الأسوأ من ذلك، أن Android يُعالج الرسالة قبل أن تصل إلى صندوق الرسائل النصية، مما لا يترك للمستخدمين أي مؤشر مرئي لما تسبب في تعطل هواتفهم.
كيف تعمل «رسالة الموت»؟
وفقًا للباحث الأمني مارك بلاه، تنبع الثغرة من عدم صحة التحقق من قيمة طول الترويسة في دالة WapPushOverSms.decodeWapPdu الخاصة بنظام Android. لاستغلال هذه الثغرة، يُمكن للمهاجم إرسال رسالة WAP Push مكونة من ثمانية بايتات مُشوهة (01 06 88 80 80 80 00 BE) كرسالة SMS بيانات إلى المنفذ 2948.
عندما تُترجم هذه القيمة إلى عدد صحيح ذي 32 بتًا مُوقّعًا دون التحقق من الحدود، تُصبح -2147483648. عندما يحاول Android تخصيص ذاكرة باستخدام هذه القيمة السلبية، يُؤدي ذلك إلى NegativeArraySizeException يُسبب تعطل عملية com.android.phone. ونظرًا لأن هذه العملية تُدير وظائف الاتصال الخلوي، فإن تعطلها يُعطّل الاتصال المحمول ويقطع المكالمات الجارية.
وقد أشار الباحث إلى أن الهجوم يُمكن أن يتسبب أيضًا في تعطلات متكررة عندما تُحاول شركات الاتصالات إعادة تسليم الرسائل الضارة أو عندما يُحاول Android معالجة الرسائل المخزنة بالفعل على الهاتف. في الاختبارات، أدى إرسال 20 رسالة ضارة إلى تعليق الهواتف في حلقات إعادة تشغيل متكررة. وفي أحد أجهزة Android 12، أعيد تشغيل الهاتف في وضع الاستعادة كل 90 ثانية تقريبًا، مما استلزم إجراء إعادة ضبط المصنع.
هل أنت محمي؟
أفادت تقارير بأن Google قد أصلحت هذه الثغرة في تحديثات أمان Android لشهر أكتوبر 2026 للإصدارات Android 14 حتى 17. ومع ذلك، لم تُدرج الثغرة في نشرة Google الأمنية لشهر أكتوبر، وما تزال أجهزة Android 12 و 13 القديمة مُعرضة للخطر لعدم تلقيها الإصلاح. يُمكن إزالة الرسائل الضارة باستخدام Android Debug Bridge (ADB)، ولكن هذه العملية تتطلب معرفة تقنية متقدمة والوصول إلى جهاز كمبيوتر.
يُوصى بشدة لمستخدمي Android بتثبيت أحدث تحديثات الأمان لحماية أجهزتهم، خاصةً بعد إطلاق ثغرة الاستغلال التي تعمل الآن. إصلاح Google، الذي يحمل عنوان «Fix remote DoS in decodeWapPdu»، يمنع التعطلات عن طريق اعتراض الاستثناءات التي تُثار عند معالجة الرسائل النصية المُشوهة، ويحذف أيضًا الرسائل الضارة من قاعدة بيانات SMS لمنع التعطلات المتكررة.
ما يعنيه هذا للمطورين: تُبرز هذه الثغرة أهمية اليقظة الأمنية على مستوى نظام التشغيل. يجب على المطورين أن يكونوا على دراية بأن التحديثات الأمنية لا تصل دائمًا إلى جميع المستخدمين في الوقت المناسب، خاصةً مع الأجهزة الأقدم، مما يُلقي مسؤولية إضافية على عاتقهم في تصميم تطبيقات مقاومة للثغرات قدر الإمكان والتأكد من أمان بيئات الاختبار. كما تُشير إلى أن التركيز على التحديثات الأمنية لأنظمة التشغيل الأساسية أمر حاسم لحماية تجربة المستخدم.
المصدر: bleepingcomputer.com