یک آسیب‌پذیری بحرانی جدید در سیستم‌عامل اندروید با شناسه CVE-2026-58882 کشف شده است که به مهاجمان اجازه می‌دهد تنها با ارسال یک پیامک و بدون نیاز به هیچ‌گونه تعامل یا کلیک از سوی کاربر، گوشی‌های به‌روزنشده را از راه دور دچار اختلال و خاموشی مکرر کنند.
این صحنه را تصور کنید: در حال صحبت با گوشی اندرویدی خود هستید که ناگهان و بدون هیچ توضیح یا اعلانی، اتصال شبکه موبایل قطع می‌شود و تماس شما پایان می‌یابد. کمی بعد، این اتفاق دوباره رخ می‌دهد و باز هم تکرار می‌شود. در نهایت، دستگاه وارد حالت بازیابی (Recovery Mode) می‌شود و هر یک دقیقه و نیم یک‌بار ری‌استارت (Reboot) می‌شود تا جایی که سرانجام مجبور به بازگردانی به تنظیمات کارخانه (Factory Reset) می‌شوید.
این یک سناریوی فرضی نیست، بلکه به واسطه یک آسیب‌پذیری با درجه اهمیت بحرانی در اندروید که با شناسه CVE-2026-58882 ردیابی می‌شود، یک احتمال واقعی است.
به گزارش رسانه اخبار فناوری تکنا، شرکت گوگل این مشکل را در به‌روزرسانی امنیتی اکتبر ۲۰۲۶ برای نسخه‌های ۱۴ تا ۱۷ اندروید برطرف کرده است، اما دستگاه‌های قدیمی‌تر که دوره پشتیبانی آن‌ها به پایان رسیده است، هیچ وصله‌ای دریافت نخواهند کرد و برای همیشه در معرض خطر باقی می‌مانند.
این رخنه امنیتی که توسط مارک بلا (Mark Blah)، پژوهشگر امنیتی، کشف شده و به پیامک مرگ شهرت یافته است، یک آسیب‌پذیری محروم‌سازی از سرویس بدون نیاز به کلیک محسوب می‌شود. از نظر فنی، این باگ ناشی از اعتبارسنجی نادرست مقدار طول هدر در تابع WapPushOverSms.decodeWapPdu اندروید است. به گفته این پژوهشگر، ارسال ۲۰ پیام مخرب یا بیشتر از این طریق می‌تواند دستگاه را وارد حلقه راه‌اندازی مجدد کند و در دستگاه‌های مجهز به اندروید ۱۲ نیز منجر به قفل شدن گوشی در حالت بازیابی و ری‌استارت شدن آن در هر یک دقیقه و نیم می‌شود؛ به طوری که تنها راهکار باقی‌مانده، بازگردانی دستگاه به تنظیمات کارخانه خواهد بود.
برای بهره‌برداری از این حفره امنیتی، مهاجم یک پیام هشت بایتی معیوب از نوع WAP Push با مقدار هگزادسیمال 01 06 88 80 80 80 00 BE به پورت ۲۹۴۸ دستگاه اندرویدی ارسال می‌کند. هنگام ترجمه این پیام به یک عدد صحیح ۳۲ بیتی علامت‌دار، مقدار آن به عدد منفی ۲۱۴۷۴۸۳۶۴۸ تبدیل می‌شود. تلاش سیستم‌عامل برای تخصیص حافظه با استفاده از این عدد منفی، خطای NegativeArraySizeException را ایجاد می‌کند و باعث از کار افتادن فرآیند com.android.phone می‌شود. از آنجا که این بخش وظیفه مدیریت عملکردهای شبکه موبایل را بر عهده دارد، تماس تلفنی کاربر قطع شده و اتصال شبکه از بین می‌رود؛ مشکلی که حتی برقراری تماس با خدمات اضطراری را نیز مختل می‌کند.
نکته نگران‌کننده‌تر این است که اندروید این پیام‌ها را پیش از رسیدن به صندوق ورودی پردازش می‌کند؛ در نتیجه قربانی هیچ اعلانی دریافت نمی‌کند و متوجه عامل اصلی از کار افتادن سیستم نمی‌شود. از سوی دیگر، تلاش برخی اپراتورهای مخابراتی برای ارسال مجدد پیام‌های نرسیده به صندوق ورودی و همچنین تلاش مداوم خود سیستم‌عامل برای پردازش پیام‌های ذخیره‌شده روی گوشی، این چرخه اختلال را تشدید می‌کند.
اصلاحیه گوگل برای مهار این مشکل، خطاهای ناشی از پردازش پیام‌های متنی معیوب را مدیریت و این پیام‌ها را از پایگاه داده پیامک‌ها پاک می‌کند تا مانع از تکرار خرابی شود. در همین حال، بلا کد اثبات مفهوم یا PoC این آسیب‌پذیری را منتشر کرده است که نحوه سوءاستفاده از آن را به طور دقیق نشان می‌دهد. همچنین یکی از مشارکت‌کنندگان پلتفرم گیت‌هاب روشی برای حذف این پیام مخرب از طریق کامپیوتر و با استفاده از ابزار پل اشکال‌زدایی اندروید یا ADB یافته است که البته به دانش فنی بالایی نیاز دارد و برای اکثر کاربران عادی کاربردی نیست.
در ابتدا تمام نسخه‌های اندروید در برابر این باگ آسیب‌پذیر بودند و اکنون نیز انتشار وصله گوگل به معنای امنیت خودکار تمام کاربران نیست. برخلاف اکوسیستم اپل، تنوع شرکت‌های سازنده در اندروید باعث تفاوت در زمان‌بندی انتشار به‌روزرسانی‌ها می‌شود. بنابراین، اگرچه کاربران گوشی‌های پیکسل احتمالاً این وصله را دریافت کرده‌اند، دارندگان دستگاه‌های سامسونگ، شیائومی، موتورولا و وان‌پلاس باید تا زمان ارائه به‌روزرسانی از سوی شرکت سازنده منتظر بمانند. با این حال، با توجه به انتشار عمومی کد اثبات مفهوم، برآورد می‌شود که اکثر تولیدکنندگان این به‌روزرسانی را منتشر کرده باشند و به کاربران توصیه می‌شود در اسرع وقت نسبت به نصب آن اقدام کنند.
| پیشنهاد ویژه : تعمیر کامپیوتر |