پیامک مخرب بدون نیاز به کلیک می‌تواند ارتباط گوشی اندرویدی را مختل کند

آسیب‌پذیری SMS of Death با شناسه CVE-2026-58882 می‌تواند بدون کلیک کاربر، تماس‌های گوشی اندرویدی را مختل کند. نسخه‌های آسیب‌پذیر و روش محافظت را بخوانید.

نویسنده:

بهراد یوسفی

یک آسیب‌پذیری امنیتی در سیستم پردازش پیام‌های اندروید با شناسه CVE-2026-58882 و نام غیررسمی SMS of Death شناسایی شده است که به مهاجمان اجازه می‌دهد با ارسال یک پیام خاص، بدون نیاز به کلیک یا تعامل کاربر، عملکرد ارتباطات تلفن همراه را مختل کنند. این نقص می‌تواند باعث قطع تماس‌های فعال، از جمله تماس‌های اضطراری شود و در صورت ارسال مکرر پیام‌های مخرب، برخی دستگاه‌ها را وارد چرخه راه‌اندازی مجدد کند. انتشار کد اثبات مفهوم این حمله، ضرورت بررسی وضعیت به‌روزرسانی امنیتی گوشی‌های اندرویدی را افزایش داده است.

آسیب‌پذیری SMS of Death در اندروید چگونه عمل می‌کند؟

بر اساس گزارشی که وب‌سایت امنیتی BleepingComputer در ۳۱ اکتبر ۲۰۲۶ منتشر کرده، یک پژوهشگر امنیت سایبری با نام Mark Blah موفق شده آسیب‌پذیری جدیدی را در سازوکار پردازش پیام‌های اندروید شناسایی و برای آن کد اثبات مفهوم (PoC) منتشر کند. این آسیب‌پذیری با شناسه CVE-2026-58882 ردیابی می‌شود و در دسته حملات منع سرویس از راه دور (Remote Denial-of-Service) قرار می‌گیرد. نقطه آسیب‌پذیر در بخشی از چارچوب مخابراتی اندروید به نام WapPushOverSms قرار دارد. این بخش وظیفه پردازش نوع خاصی از پیام‌های داده‌ای موسوم به WAP Push را بر عهده دارد. این پیام‌ها با پیامک‌های متنی معمولی تفاوت دارند و می‌توانند برای انتقال اطلاعات و تنظیمات مشخص به دستگاه تلفن همراه استفاده شوند. مشکل زمانی ایجاد می‌شود که سیستم اندروید در پردازش طول سربرگ پیام دریافتی، مقدار نامعتبر را بدون بررسی محدوده مجاز دریافت و پردازش می‌کند. در نتیجه، مقدار عددی مورد استفاده برای تخصیص حافظه به یک عدد منفی تبدیل می‌شود و خطایی در پردازش پیام رخ می‌دهد. این خطا می‌تواند فرایند سیستمی com.android.phone را از کار بیندازد؛ فرایندی که بخش مهمی از عملکرد تماس‌ها و ارتباطات سلولی دستگاه را مدیریت می‌کند. نکته نگران‌کننده این است که پردازش پیام پیش از نمایش آن در صندوق ورودی پیامک‌ها انجام می‌شود. بنابراین، کاربر ممکن است هیچ پیام یا اعلان مشکوکی مشاهده نکند، اما هم‌زمان با دریافت پیام دست‌کاری‌شده، ارتباط تلفن همراه او دچار اختلال شود.

پیامک مخرب چه آسیبی به گوشی وارد می‌کند؟

مهم‌ترین پیامد این آسیب‌پذیری، اختلال در عملکرد ارتباطات سلولی است. هنگامی که فرایند com.android.phone به دلیل پردازش پیام مخرب از کار می‌افتد، تماس‌های فعال می‌توانند قطع شوند و دستگاه برای مدتی ارتباط خود را با شبکه تلفن همراه از دست بدهد. بر اساس آزمایش‌های منتشرشده توسط پژوهشگر، این اختلال می‌تواند تماس‌های اضطراری را نیز تحت تأثیر قرار دهد. به همین دلیل، آسیب‌پذیری فقط یک مشکل نرم‌افزاری ساده نیست و در شرایطی که کاربر برای برقراری تماس ضروری به تلفن خود وابسته است، می‌تواند پیامدهای جدی‌تری داشته باشد. در آزمایش‌های انجام‌شده، ارسال چندین پیام مخرب باعث تکرار خطا و اختلال در عملکرد دستگاه شده است. پژوهشگر گزارش داده که ارسال حدود ۲۰ پیام دست‌کاری‌شده می‌تواند برخی گوشی‌ها را وارد چرخه راه‌اندازی مجدد (Boot Loop) کند. در یکی از آزمایش‌ها روی دستگاهی با اندروید ۱۲، گوشی تقریباً هر ۹۰ ثانیه مجدداً راه‌اندازی شده و برای بازیابی آن به اقدامات فنی بیشتری نیاز بوده است. در چنین شرایطی، مشکل صرفاً با بستن برنامه پیامک یا خاموش و روشن کردن معمولی گوشی برطرف نمی‌شود؛ زیرا ممکن است پیام مخرب همچنان در صف پردازش دستگاه باقی مانده باشد و دوباره خطا ایجاد کند.

کدام نسخه‌های اندروید در معرض آسیب‌پذیری هستند؟

بر اساس گزارش BleepingComputer و اطلاعات منتشرشده توسط پژوهشگر، این نقص در آزمایش‌های انجام‌شده روی دستگاه‌هایی با اندروید ۱۲ تا ۱۶ بازتولید شده است. همچنین گزارش شده که گوگل اصلاحیه مربوط به آن را در به‌روزرسانی امنیتی اکتبر ۲۰۲۶ برای اندروید ۱۴ تا ۱۷ قرار داده است. با این حال، یک نکته مهم وجود دارد: شناسه CVE-2026-58882 در بولتن عمومی امنیتی اکتبر اندروید درج نشده است. بنابراین، اطلاعات مربوط به اصلاح این نقص از گزارش پژوهشگر و بررسی کد اصلاحی به دست آمده و نباید آن را با یک تأییدیه مستقل و صریح در بولتن عمومی گوگل اشتباه گرفت.

وضعیت نسخه‌های مختلف به‌صورت زیر گزارش شده است:

اندروید ۱۲ و ۱۳: برای این نسخه‌ها اصلاحیه‌ای در گزارش منتشرشده تأیید نشده و دستگاه‌های دارای این نسخه‌ها همچنان در معرض خطر هستند.
اندروید ۱۴، ۱۵ و ۱۶: اصلاحیه در به‌روزرسانی امنیتی اکتبر ۲۰۲۶ گزارش شده است؛ با این حال، دریافت واقعی آن به سازنده گوشی و اپراتور بستگی دارد.
اندروید ۱۷: اصلاحیه در گزارش مربوط به این نسخه نیز ذکر شده، اما بازتولید آزمایشگاهی آسیب‌پذیری روی آن در گزارش پژوهشگر به‌طور مستقل تأیید نشده است.

بنابراین، صرف نصب نسخه جدید اندروید به معنی رفع قطعی مشکل نیست و کاربران باید سطح وصله امنیتی دستگاه خود را بررسی کنند.

آیا کاربران برای محافظت از گوشی باید اقدام خاصی انجام دهند؟

با توجه به انتشار کد اثبات مفهوم این آسیب‌پذیری، نصب آخرین به‌روزرسانی امنیتی ارائه‌شده برای دستگاه اهمیت زیادی دارد. کاربران اندرویدی می‌توانند از مسیر تنظیمات گوشی، نسخه سیستم‌عامل و سطح وصله امنیتی را بررسی کنند.

برای بررسی وضعیت به‌روزرسانی در بسیاری از گوشی‌های اندرویدی، مسیر زیر قابل استفاده است:

تنظیمات (Settings) ← سیستم (System) ← به‌روزرسانی نرم‌افزار (Software Update)

نام و محل این گزینه ممکن است با توجه به سازنده گوشی متفاوت باشد. کاربران همچنین باید تاریخ آخرین به‌روزرسانی امنیتی دستگاه را در بخش اطلاعات نرم‌افزار بررسی کنند و در صورت ارائه اصلاحیه جدید، آن را نصب کنند.

در صورتی که گوشی از نسخه‌های قدیمی اندروید استفاده می‌کند و سازنده دیگر وصله امنیتی منتشر نمی‌کند، کاربر باید محدودیت‌های امنیتی دستگاه را جدی بگیرد و در صورت امکان از دستگاهی استفاده کند که همچنان به‌روزرسانی‌های امنیتی دریافت می‌کند. همچنین اگر گوشی پس از دریافت پیام یا در زمان استفاده از تماس تلفنی دچار اختلال‌های غیرعادی و راه‌اندازی مجدد مکرر شد، بهتر است کاربر برای بررسی دستگاه به پشتیبانی فنی سازنده یا مرکز خدمات معتبر مراجعه کند. پاک کردن پیام‌های معمولی یا نصب یک برنامه آنتی‌ویروس به‌تنهایی راهکار قابل اتکایی برای رفع این آسیب‌پذیری نیست.

چرا آسیب‌پذیری SMS of Death برای اپراتورهای تلفن همراه اهمیت دارد؟

این آسیب‌پذیری علاوه بر کاربران، از منظر امنیت شبکه تلفن همراه نیز قابل توجه است. در این سناریو، پیام خاص از طریق زیرساخت ارسال پیام‌های داده‌ای به دستگاه می‌رسد و نقص اصلی در نحوه پردازش آن توسط سیستم‌عامل گوشی قرار دارد. به همین دلیل، موضوع فقط به امنیت برنامه پیامک محدود نمی‌شود؛ بلکه پایداری سرویس تماس، دسترسی کاربران به شبکه تلفن همراه و امکان برقراری تماس‌های ضروری نیز اهمیت پیدا می‌کند.

با این حال، تاکنون گزارشی مبنی بر سوءاستفاده گسترده از این آسیب‌پذیری در شبکه اپراتورهای ایرانی منتشر نشده است. همچنین وجود این نقص در سیستم‌عامل به‌تنهایی به معنی آسیب‌پذیری مستقیم زیرساخت شبکه اپراتور نیست. بررسی امکان فیلتر یا شناسایی پیام‌های داده‌ای مخرب در شبکه، نیازمند ارزیابی فنی مستقل و هماهنگی با سازندگان تجهیزات و سیستم‌عامل است.

جمع‌بندی

آسیب‌پذیری SMS of Death نشان می‌دهد که حتی دریافت یک پیام داده‌ای خاص نیز می‌تواند بدون هیچ اقدام آگاهانه از سوی کاربر، عملکرد بخش مهمی از ارتباطات تلفن همراه را مختل کند. انتشار کد اثبات مفهوم این نقص، اهمیت نصب به‌روزرسانی‌های امنیتی و توجه به دستگاه‌های قدیمی اندرویدی را افزایش داده است. کاربران باید سطح وصله امنیتی گوشی خود را بررسی کنند و در صورت دریافت به‌روزرسانی جدید، نصب آن را به تعویق نیندازند. از سوی دیگر، این رخداد یادآوری می‌کند که امنیت ارتباطات موبایلی فقط به لینک‌های مخرب، برنامه‌های آلوده یا سرقت اطلاعات محدود نیست؛ گاهی یک نقص در پردازش پیام‌های سیستمی می‌تواند دسترسی کاربر به خدمات ارتباطی را نیز تحت تأثیر قرار دهد.