V sodobnih operacijskih sistemih se skriva veliko ranljivosti, pametni telefoni z internetno povezavo pa so izpostavljeni še posebej številnim grožnjam. Toda kibernetski kriminalci lahko uporabnikom pogosto povzročijo nevšečnosti že z uporabo najosnovnejših tehnologij. Tokratni primer to dobro ponazarja.
Varnostni raziskovalec Mark Blaszczyk je odkril novo, skrb vzbujajočo ranljivost, ki prizadene telefone z Androidom 12 ali novejšim. Za njeno izrabo zadostuje že eno samo posebej oblikovano sporočilo SMS, poslano na napravo.
Blaszczyk je odkrito ranljivost poimenoval »smrtonosni SMS«. Ime sicer ni posebej domiselno, a precej jasno pove bistvo. Takoj ko telefon prejme takšno sporočilo, se namreč sesuje, če še ni dobil protistrupa oziroma popravka. Sporočilo SMS se nikjer ne prikaže in za sprožitev napada ga ni treba odpreti, zato uporabnik ne ve, kaj se je zgodilo v ozadju.
Gre za ranljivost, ki omogoča zavrnitev storitve brez uporabnikovega posredovanja. Uporabnik prejme posebej oblikovano potisno sporočilo WAP prek SMS-a, ki ga ogrodje sistema Android za pametne telefone ne zna pravilno obdelati, zato se sesuje. Če napadalec napravo zasuje z večjim številom takšnih sporočil, lahko povsem onesposobi tudi sodoben telefon.
WAP push je stara tehnologija, ki jo operaterji mobilnih omrežij uporabljajo za pošiljanje nastavitvenih navodil na mobilne telefone. Danes to ni več potrebno, sodobni telefoni pa s takšnim »pismom« v svojem poštnem nabiralniku tudi ne znajo več ravnati. Če jih prejmejo v večjem valu, podobno kot pri preobremenitvenem napadu, jih sploh ne zmorejo obdelati in se lahko ujamejo v neskončno zanko sesuvanja.
Ranljivost ne omogoča kraje podatkov, lahko pa »smrtonosni SMS«, poslan na nezaščiten pametni telefon, uporabniku denimo prepreči, da bi kogarkoli poklical, onemogoči klice v sili in takoj prekine tudi že vzpostavljene klice. Če napravo doleti val takšnih napadov, jo bo morda mogoče znova usposobiti šele s ponastavitvijo na tovarniške nastavitve.
Varnostna vrzel je uradno označena z identifikatorjem CVE-2026-58882, zanjo pa že obstaja popravek. Blaszczyk je namreč že prej stopil v stik z Googlom, njegovi strokovnjaki pa so poskrbeli za odpravo težave. Popravljeni sistem se ob napaki pri dekodiranju ne sesuje, temveč takoj prepozna zlonamerni podatkovni paket in ga samodejno izbriše.
Varnostni raziskovalec je razvijalce na napako opozoril maja 2026. Preiskave so potrdile, da je bilo ranljivost mogoče reproducirati med drugim na napravah Google Pixel in Samsung Galaxy. Prizadete so bile lahko vse naprave z Androidom 12 ali novejšim, telefoni, ki v zadnjem času prejemajo nadgradnjo na Android 17, pa bodo pred njo že samodejno zaščiteni.
Popravek je del Googlove oktobrske varnostne posodobitve, zato bo lahko v prihodnjem obdobju brez zapletov dosegel vse podprte naprave.
Na srečo uporabniki danes posodabljajo več pametnih telefonov kot kdaj prej, tudi proizvajalci pa si prizadevajo, da bi za svoje naprave čim dlje zagotavljali varnostne popravke. Da bi preprečili težave, je takšne pakete vedno priporočljivo namestiti čim prej. Pri tej ranljivosti ni bojazni, da bi prišlo do množičnih zlorab.
