كشف الباحث الأمني Mark B في 29 أكتوبر 2026 تفاصيل تقنية لثغرة أمنية في نظام Android أطلق عليها اسم “SMS of Death”، تسمح للمهاجمين بتعطيل الهواتف عن بعد دون أي تفاعل من المستخدم عبر إرسال رسالة نصية خبيثة إلى رقمه. وعالجت Google هذا الخلل ضمن التحديث الأمني لشهر أكتوبر لإصدارات Android من 14 إلى 17، في حين بقيت الإصدارات 12 و13 دون ترقيع.
تصنف الرسالة الخبيثة ضمن نوع WAP Push وترسل كبيانات يعالجها نظام Android قبل وصولها إلى تطبيق الرسائل، ونتيجة لذلك لا تظهر الرسالة للضحية ولا يكشف عن رقم المرسل، ويكتفي المهاجم بمعرفة رقم الهاتف المستهدف لتنفيذ الهجوم. وينبع الخلل من معالجة قيمة الطول في ترويسة الرسالة، حيث تُحوّل إلى عدد صحيح ذي إشارة دون التحقق من نطاقها، لتصبح قيمة سالبة تستخدم كحجم لمصفوفة، وتؤدي إلى إطلاق استثناء غير معالج يتسبب في انهيار عملية الاتصالات الأساسية في النظام (com.android.phone).
يؤدي انهيار هذه العملية إلى قطع المكالمات النشطة، متضمنة مكالمات الطوارئ، ويفقد الهاتف قدرته على إجراء أي اتصال طارئ بموثوقية أثناء الهجوم. وتتوالى الانهيارات بسبب آلية عمل شبكات الاتصال التي تعيد إرسال الرسالة غير المؤكدة، لتبقى في قائمة الانتظار وتعالج تلقائياً عند كل عملية إقلاع. وتكفي 20 رسالة لجعل الجهاز غير قابل للاستخدام لفترة مطولة، وقد تجبر الهجمات الهاتف على إعادة التشغيل والدخول في وضع الاسترداد كل 90 ثانية تقريباً، ليعرض خيار مسح البيانات بالكامل.
أثبت الباحث فاعلية الثغرة بإعادة إنتاجها على هاتف Pixel 9 يعمل بنسخة نظام صادرة في أبريل 2026، إلى جانب عدة أجهزة Galaxy من إنتاج Samsung تعمل بإصدارات Android من 12 إلى 16. وأبلغ الباحث شركة Google عن الخلل عبر برنامج مكافآت الثغرات الخاص بنظام Android والأجهزة في 5 مايو 2026.
استندت Google في معالجة الثغرة إلى التزام في مستودع AOSP يحمل العنوان “Fix remote DoS in decodeWapPdu”، حيث ركز الإصلاح على تغليف عملية فك تشفير رسائل WAP Push وبثها بآلية لمعالجة الاستثناءات. وفي حال فشل فك التشفير، تحذف الرسالة من قاعدة البيانات الأولية لمنع إعادة التجريب. ورغم اقتراح الباحث فحص نطاق القيمة قبل تحويلها، اعتمدت الشركة على التقاط الاستثناء في التعديل البرمجي الذي كتب في 15 يونيو 2026.
خلت النشرة الأمنية لنظام Android الصادرة في أكتوبر 2026 من ذكر هذا التعديل أو اسم الدالة البرمجية المعنية، ولم يخصص للثغرة أي معرف CVE أو تقييم لدرجة الخطورة. وتتشارك إصدارات Android 12 و13 الشيفرة البرمجية ذاتها المعرضة للخطر دون أن تتلقى أي إصلاح، وتبقى كافة الأجهزة التي تعمل بمستوى تحديث أمني يسبق أكتوبر 2026 عرضة للهجوم.
نشر الباحث إثبات مفهوم للثغرة للعموم، ولم يوثق تقريره أي استغلال فعلي لها حتى الآن. ويتطلب إنقاذ الهاتف العالق إزالة الرسائل الخبيثة باستخدام حاسوب وأداة ADB وفق آلية وثقها أحد المطورين على منصة GitHub، مع تحذير الباحث الشديد من اختيار مسح البيانات في شاشة الاسترداد. وأشار إلى أن فقدان القدرة على إجراء مكالمات الطوارئ قد يدفع شركات الاتصالات في أستراليا إلى حجب الأجهزة المصابة تطبيقاً لقواعد خدمة الطوارئ المحلية، وهو تحليل شخصي وليس بياناً تنظيمياً رسمياً. ويوصي التقرير المستخدمين بضرورة تثبيت التحديث الأمني لشهر أكتوبر 2026 أو ما يليه فوراً.
