- Android'in telefon servisinde, tek bir SMS ile aramaları kesebilen SMS of Death adlı bir güvenlik açığı ortaya çıktı.
- Kullanıcının hiçbir şey yapmasına gerek kalmayan açık, yaklaşık 20 mesajla telefonu yeniden başlatma döngüsüne sokabiliyor.
- Google'ın düzeltmesi Ekim güvenlik güncellemesiyle Android 14 ve üzeri sürümlere geldi, Android 12 ve 13'teki telefonlar korumasız kalıyor.
Android’in telefon servisinde, tek bir SMS ile aramaları kesebilen ve cihazı yeniden başlatma döngüsüne sokabilen bir güvenlik açığı ortaya çıktı. “SMS of Death” adı verilen açığı bulan güvenlik araştırmacısı Mark Blaszczyk, ayrıntıları 29 Ekim Perşembe günü kamuoyuyla paylaştı.
Açığın en tehlikeli yanı kullanıcının hiçbir şey yapmasına gerek kalmaması. Saldırı için kurbanın yalnızca telefon numarasının bilinmesi yetiyor, gelen mesaj gelen kutusunda görünmüyor ve gönderenin numarası da hiçbir yerde yer almıyor. Araştırmacının denediği Google Pixel ve Samsung Galaxy modellerinin hepsinde aynı sonuç alındı.
SMS of Death açığı telefonda ne yapıyor?
Blaszczyk’in yayımladığı teknik açıklamaya göre sorun, Android’in çekirdek telefon altyapısında belirli bir türdeki veri mesajlarını işleyen kodda bulunuyor. Özel olarak hazırlanmış mesaj geldiğinde aramaları yöneten sistem servisi çöküyor ve yeniden başlıyor. Bu sırada devam eden görüşmeler, acil çağrılar dahil, anında kesiliyor ve telefon her mesajda bir iki saniye boyunca şebekeden düşüyor.
Etki tek bir kesintiyle de sınırlı kalmıyor. Telefon mesajı başarıyla alamadığı için operatör aynı mesajı tekrar tekrar gönderebiliyor, araştırmacının testlerinde tek bir mesaj bir haftaya varan aralıklı kesintilere yol açtığı belirtiliyor. Yaklaşık 20 mesaj ise cihazı uzun süre kullanılamaz hale getirebiliyor. Mesaj sistemde beklemeye devam ettiği için telefon her açılışta yeniden çöküyor ve yaklaşık 90 saniyede bir kurtarma moduna düşüyor. Bu döngüden çıkmak için telefonun bilgisayara bağlanıp geliştirici araçlarıyla mesajların silinmesi gerekiyor, sıradan bir kullanıcı için ise tek seçenek çoğu zaman fabrika ayarlarına dönmek oluyor.
Hangi Android sürümleri etkileniyor?
Açığın bulunduğu kod Android 12’den bu yana sistemde yer alıyor ve sorun Android 12’den Android 16’ya kadar olan sürümlerde yeniden üretilmiş durumda. Google’ın düzeltmesi ise Ekim 2026 güvenlik güncellemesiyle Android 14, 15, 16 ve 17 için yayımlandı. Bu nedenle hala Android 12 ya da Android 13 kullanan ve artık güvenlik güncellemesi almayan telefonlar açığa karşı korumasız kalıyor.
Testlerde kullanılan cihazlar arasında Nisan 2026 yazılımlı Pixel 9 ile Galaxy A serisi dahil çeşitli Samsung modelleri bulunuyor. Samsung’un uygun fiyatlı A serisi Türkiye’de de yaygın biçimde kullanıldığı için açık ülkemizdeki pek çok kullanıcıyı ilgilendiriyor. Samsung’un hangi modellere güncelleme vermeye devam ettiği One UI 9 alacak Samsung telefonlar listesinden görülebiliyor.
Google açığı önce güvenlik sorunu saymadı
Blaszczyk açığı 5 Mayıs’ta Google’ın ödül programı üzerinden bildirdi, ancak Google raporu defalarca güvenlik sorunu olmadığı gerekçesiyle reddetti. Araştırmacı bunun üzerine ayrıntıları 29 Ekim’de çalışan bir kavram kanıtıyla birlikte yayımladı. Android Authority’nin incelemesine göre ise Android’in kod kayıtları, Google’ın düzeltmeyi 15 Haziran’da hazırladığını gösteriyor.
Android tabanlı GrapheneOS’un geliştiricileri de düzeltmenin Temmuz ayında üreticilere giden güvenlik önizlemelerinde yer aldığını açıkladı. Açık, CVE-2026-58882 koduyla kritik seviyede sınıflandırıldı ve Kasım ayı Android güvenlik bülteninde yer alması bekleniyor. Google’dan raporun neden reddedildiğine dair bir açıklama gelmedi.
Telefonun güvenlik yaması nasıl kontrol edilir?
Düzeltmenin üreticilere aylar önce ulaşmış olması, her telefona aynı hızla geleceği anlamına gelmiyor. Samsung ve diğer üreticiler aylık güvenlik yamalarını modelden modele ve ülkeden ülkeye farklı takvimlerle dağıtıyor. Bu yüzden en güvenli yol, telefon için yayımlanan son güvenlik güncellemesinin yüklenmesi.
Samsung telefonlarda yüklü güvenlik yamasının tarihi Ayarlar, Telefon hakkında ve Yazılım bilgileri adımlarıyla açılan ekrandaki “Android güvenlik yaması düzeyi” satırında görünüyor. Yeni bir güncelleme olup olmadığı ise Ayarlar menüsündeki Yazılım güncelleme bölümünden kontrol edilebiliyor. Araştırmacıya göre Ekim 2026 ya da daha yeni bir yama tarihi görünen Android 14 ve üzeri telefonlarda açık kapatılmış durumda.
