U modernim operacijskim sustavima kriju se brojne ranjivosti, a pametni telefoni povezani s internetom izloženi su posebno velikom broju prijetnji. No kibernetičkim kriminalcima često su dovoljne i najosnovnije tehnologije da korisnicima prouzroče neugodnosti. Upravo se pojavio dobar primjer takvog napada.
Sigurnosni istraživač Mark Blaszczyk otkrio je novu, zabrinjavajuću ranjivost koja pogađa telefone s Androidom 12 ili novijim verzijama. Za njezino iskorištavanje dovoljno je na uređaj poslati samo jedan posebno oblikovan SMS.
Blaszczyk je otkrivenu ranjivost nazvao „smrtonosni SMS”. Naziv možda nije osobito maštovit, ali prilično jasno opisuje o čemu je riječ. Čim mobitel primi takvu poruku, sustav će se srušiti, osim ako je uređaj već dobio odgovarajuću zakrpu. SMS se nigdje ne prikazuje, a napad se ne aktivira otvaranjem poruke, pa korisnik ni ne zna što se dogodilo u pozadini.
Riječ je o ranjivosti koja omogućuje uskraćivanje usluge bez ikakve radnje korisnika, odnosno napad tipa zero-click. Uređaj prima posebno oblikovanu WAP push SMS poruku koju programski okvir sustava Android za pametne telefone ne može pravilno obraditi, zbog čega se ruši. Slanjem većeg broja takvih poruka moderan se mobitel može potpuno onesposobiti.
WAP push stara je tehnologija kojom se mobilni operateri služe za slanje konfiguracijskih uputa na mobilne telefone. Danas za njom više nema potrebe, a suvremeni mobiteli više se ne znaju nositi s takvim „pismom” u svojem poštanskom sandučiću. Ako ih takve poruke zaspu u većem valu, slično napadu preopterećenjem, uređaji se uopće ne mogu nositi s njima te mogu zapeti u petlji neprestanog rušenja sustava.
Ranjivost ne omogućuje krađu podataka, ali slanje smrtonosnog SMS-a na nezaštićeni pametni telefon može korisniku onemogućiti da ikoga nazove, uključujući hitne službe, a odmah će se prekinuti i svi pozivi koji su u tijeku. Ako uređaj pogodi val takvih napada, moguće je i da će ga se moći ponovno osposobiti tek vraćanjem na tvorničke postavke.
Ovaj sigurnosni propust službeno nosi oznaku CVE-2026-58882, a zakrpa već postoji. Blaszczyk je, naime, ranije kontaktirao Google, čiji su stručnjaci riješili problem. Zakrpani sustav pri pojavi pogreške u dekodiranju više se ne ruši, nego odmah prepoznaje zlonamjerni podatkovni paket i automatski ga briše.
Sigurnosni istraživač prijavio je propust razvojnim inženjerima u svibnju 2026. Ispitivanja su potvrdila da se ranjivost može reproducirati, među ostalim, na uređajima Google Pixel i Samsung Galaxy. Potencijalno su bili pogođeni svi uređaji s Androidom 12 ili novijim verzijama, no mobiteli koji se ovih dana nadograđuju na Android 17 automatski će biti zaštićeni od ovog napada.
Zakrpa je dio Googleova sigurnosnog ažuriranja za listopad, pa bi u predstojećem razdoblju trebala bez poteškoća stići na sve podržane uređaje.
Srećom, korisnici danas ažuriraju više pametnih telefona nego ikad prije, a i proizvođači nastoje što dulje isporučivati sigurnosne zakrpe za svoje uređaje. Takva je ažuriranja uvijek preporučljivo instalirati što prije kako bi se spriječili problemi. U slučaju ove ranjivosti nema razloga za strah od masovnog iskorištavanja.
