SMS of Death: Ένα αόρατο μήνυμα κόβει τις κλήσεις στο Android, και η Google δεν το θεωρούσε θέμα ασφαλείας για μήνες
Τα κινητά μας έχουν γεμίσει με προστασίες για links, εφαρμογές και ύποπτα αρχεία. Κανείς όμως δεν περίμενε ότι ένα SMS που δεν φαίνεται καν στην οθόνη θα αρκούσε για να κλείσει το τηλέφωνο στη μέση μιας κλήσης.
Κι όμως, ακριβώς αυτό κάνει το SMS of Death, μια ευπάθεια του Android που έγινε δημόσια στις 29 Οκτωβρίου. Ένα ειδικά φτιαγμένο μήνυμα «ρίχνει» την υπηρεσία που χειρίζεται τις κλήσεις, χωρίς να αγγίξεις τίποτα.
Ούτε ειδοποίηση, ούτε αποστολέας, ούτε μήνυμα στα εισερχόμενα.
Και το πιο εκνευριστικό κομμάτι της ιστορίας δεν είναι καν το ίδιο το bug. Είναι το πώς το χειρίστηκε η Google.
Τι είναι το SMS of Death
Πρόκειται για ένα SMS δεδομένων τύπου WAP Push, ένα είδος μηνύματος που το Android επεξεργάζεται σιωπηλά στο παρασκήνιο. Τη βρήκε ο ερευνητής ασφαλείας Mark Blaszczyk, ο οποίος την περιγράφει αναλυτικά στο smsofdeath.com.
Το κλειδί είναι ένα πεδίο του μηνύματος που δηλώνει πόσο μεγάλη είναι η κεφαλίδα του. Ο κώδικας τηλεφωνίας του Android μετατρέπει αυτόν τον αριθμό χωρίς να ελέγξει αν είναι λογικός.
Με μια συγκεκριμένη τιμή πέντε bytes, ο αριθμός βγαίνει αρνητικός. Το Android πάει να δεσμεύσει μνήμη αρνητικού μεγέθους, κάτι που προφανώς δεν γίνεται, και η διεργασία com.android.phone, η καρδιά των κλήσεων, καταρρέει.
Ένα ξεχασμένο «if». Αυτό είναι όλο.
Γιατί λέγεται zero-click
Δεν ανοίγεις link, δεν εγκαθιστάς εφαρμογή, δεν απαντάς σε τίποτα. Αρκεί κάποιος να έχει τον αριθμό σου.
Επειδή φτάνει ως SMS δεδομένων, η εφαρμογή Μηνύματα δεν το δείχνει ποτέ και ο αριθμός του αποστολέα μένει κρυφός. Το μόνο που καταλαβαίνεις είναι ότι η κλήση σου κόπηκε χωρίς λόγο.
Θεωρώ ότι αυτό είναι το πιο ύπουλο σημείο. Ένα spam SMS τουλάχιστον το βλέπεις και το σβήνεις. Εδώ δεν υπάρχει τίποτα να σβήσεις.
Τι παθαίνει το κινητό σου στην πράξη
Το χειρότερο σενάριο θέλει περίπου είκοσι μηνύματα στη σειρά. Τότε το κινητό δεν συνέρχεται για ώρα, και η ιστορία μπορεί να καταλήξει σε ατέρμονες επανεκκινήσεις.
Ο λόγος είναι ότι το κακόβουλο μήνυμα δεν χάνεται. Μένει σε αναμονή, το σύστημα ξαναπροσπαθεί να το διαβάσει σε κάθε εκκίνηση και κρασάρει ξανά. Κάθε ενάμιση λεπτό περίπου, το τηλέφωνο καταλήγει στο recovery με την επιλογή διαγραφής δεδομένων μπροστά σου.
Ο μέσος χρήστης εκεί θα πατήσει factory reset. Και δεν θα τον κατηγορήσω.
Ακόμη και ένα μόνο μήνυμα, πάντως, κάνει ζημιά. Κάθε crash αφήνει το κινητό χωρίς υπηρεσία δικτύου για ένα με δύο δευτερόλεπτα και τερματίζει όποια κλήση είναι ενεργή, μαζί και τις κλήσεις έκτακτης ανάγκης.
Ναι, και το 112.
Επιπλέον, όταν το τηλέφωνο δεν «απαντήσει» ότι έλαβε το μήνυμα, ο πάροχος το στέλνει ξανά. Στις δοκιμές του ερευνητή, ένα και μόνο SMS προκαλούσε διακοπές για έως μία εβδομάδα.
Γιατί δεν σε σώζει πάντα η επαναφορά
Αφού ο πάροχος ξαναστέλνει ό,τι δεν επιβεβαιώθηκε, ένα κινητό που μόλις έκανε επαναφορά εργοστασιακών ρυθμίσεων μπορεί να ξαναπέσει στην ίδια παγίδα, όπως εξηγεί και το Android Authority.
Υπάρχει και πιο «χειρουργική» λύση, που κρατά τα δεδομένα σου. Η σελίδα της ευπάθειας δημοσιεύει εντολές ADB που τρέχεις από υπολογιστή, στο σύντομο διάστημα μετά την εκκίνηση, σβήνοντας μόνο τα επίμαχα μηνύματα.
Για developer, εντάξει. Για κάποιον που απλώς θέλει να ξαναπάρει τηλέφωνο, ξέχνα το.
Ποια κινητά Android επηρεάζονται
Το πρόβλημα βρίσκεται στο framework τηλεφωνίας του ίδιου του Android, όχι στο λογισμικό κάποιου κατασκευαστή. Ο ερευνητής το αναπαρήγαγε σε Pixel 9 με το firmware του Απριλίου 2026 και σε διάφορα Samsung Galaxy, ανάμεσά τους και μοντέλα της σειράς A.
Η σελίδα της ευπάθειας τοποθετεί τον ευάλωτο κώδικα στα Android 12 έως 17, με το crash να έχει αναπαραχθεί από το Android 12 έως το Android 16.
Η διόρθωση που περιγράφει ο ερευνητής αφορά τα Android 14 έως 17. Ένα κινητό με Android 12 ή 13, που δεν παίρνει πια ενημερώσεις ασφαλείας, κουβαλά τον ίδιο κώδικα χωρίς κανένα μπάλωμα.
Ένα παλιότερο κινητό που δουλεύει μια χαρά για WhatsApp και κλήσεις μπορεί να μείνει εκτεθειμένο σε αυτό για πάντα.
Ο ερευνητής λέει ότι η Google τον απέρριπτε, ενώ ο κώδικας είχε ήδη διορθωθεί
Ο Blaszczyk ενημέρωσε την Google στις 5 Μαΐου 2026, μέσω του προγράμματος επιβράβευσης ευπαθειών για Android. Κατά τον ίδιο, η αναφορά του χαρακτηριζόταν επανειλημμένα ως κάτι που δεν αφορά την ασφάλεια.
Στις 29 Οκτωβρίου, έξι μήνες μετά την πρώτη αναφορά, η ευπάθεια έγινε δημόσια μαζί με εφαρμογή επίδειξης και τον κώδικά της.
Στον κώδικα του Android, όμως, υπάρχει commit της 15ης Ιουνίου με τίτλο «Fix remote DoS in decodeWapPdu». Δηλαδή η Google είχε ήδη διορθώσει κάτι που, σύμφωνα με τις απαντήσεις που λέει ότι πήρε ο ερευνητής, δεν θεωρούσε πρόβλημα ασφαλείας.
Η διόρθωση μάλιστα δεν είναι ο έλεγχος ορίων που είχε προτείνει ο ερευνητής. Η Google επέλεξε να «πιάνει» το σφάλμα για να μην πέφτει η διεργασία, και να σβήνει το επίμαχο μήνυμα ώστε να μη σε στοιχειώνει σε κάθε εκκίνηση.
Κατά το Android Authority, η ευπάθεια έχει πλέον το αναγνωριστικό CVE-2026-58882 με βαθμό Critical. Το γιατί απορριπτόταν τόσους μήνες, η Google δεν το έχει εξηγήσει δημόσια.
Οκτώβριος ή Νοέμβριος; Η μπερδεμένη ημερομηνία της διόρθωσης
Η σελίδα του ερευνητή γράφει ότι η διόρθωση μπήκε στην ενημέρωση ασφαλείας του Οκτωβρίου 2026, για τα Android 14 έως 17.
Το επίσημο δελτίο ασφαλείας Android του Οκτωβρίου, όμως, δεν αναφέρει πουθενά το CVE-2026-58882. Το ίδιο το Android Authority γράφει ότι το CVE μάλλον θα μπει στο δελτίο του Νοεμβρίου, ενώ το GrapheneOS λέει ότι η Google είχε μοιράσει τη διόρθωση στα security previews του Ιουλίου.
Πρακτικά, η Google δεν έχει επιβεβαιώσει ακόμη πουθενά ότι το επίπεδο ενημέρωσης Οκτωβρίου σε καλύπτει. Για Samsung, Xiaomi και τους υπόλοιπους, η καθαρή απάντηση αναμένεται με το δελτίο του Νοεμβρίου, αν το CVE μπει τελικά εκεί, και με τις ενημερώσεις που θα το ακολουθήσουν.
Πώς ελέγχεις αν το κινητό σου είναι ενημερωμένο
Τα μενού αλλάζουν λίγο από μάρκα σε μάρκα, αλλά σύμφωνα με τη βοήθεια της Google η διαδρομή είναι η εξής:
- Άνοιξε τις Ρυθμίσεις, πήγαινε στο Σχετικά με το τηλέφωνο και μετά στην Έκδοση Android, για να δεις την έκδοση και την κατάσταση της ενημέρωσης ασφαλείας.
- Γύρνα στις Ρυθμίσεις και πάτησε Σύστημα και μετά Ενημερώσεις λογισμικού.
- Εγκατάστησε ό,τι εκκρεμεί και κάνε επανεκκίνηση, αν σου ζητηθεί.
Το πότε θα φτάσει κάθε ενημέρωση εξαρτάται από τη συσκευή, τον κατασκευαστή και τον πάροχο. Γι’ αυτό, τις επόμενες εβδομάδες αξίζει να ξανακοιτάξεις και όχι μόνο μία φορά.
Το ίδιο ισχύει φυσικά και για όσους έχουν iPhone, όπου πρόσφατα είχαμε δει το σοβαρό zero-day που διόρθωσε η Apple. Οι ενημερώσεις ασφαλείας δεν είναι ποτέ «για αργότερα».
Η γνώμη μου: Το bug είναι μικρό, η στάση της Google όχι
Ένας ξεχασμένος έλεγχος σε κώδικα που το Android κουβαλά εδώ και χρόνια είναι κάτι που συμβαίνει. Δεν θα κρεμάσω κανέναν μηχανικό γι’ αυτό.
Εκεί που κολλάω είναι αλλού. Μια επίθεση που μπορεί να κόψει κλήση προς το 112 έμεινε για μήνες στο συρτάρι με την ετικέτα «όχι θέμα ασφαλείας». Αν αυτό δεν είναι θέμα ασφαλείας, ειλικρινά δεν ξέρω τι είναι.
Από την άλλη, δεν με ενθουσιάζει ότι κυκλοφορεί πλέον έτοιμη εφαρμογή επίδειξης, όσο πολλά κινητά δεν έχουν πάρει ακόμη την ενημέρωση. Καταλαβαίνω πάντως την απόφαση του ερευνητή. Μετά από έξι μήνες «όχι», η δημοσιότητα ήταν το μόνο εργαλείο που του είχε απομείνει.
Το SMS of Death θυμίζει κάτι που ξεχνάμε εύκολα. Οι πιο επικίνδυνες επιθέσεις στο κινητό δεν περιμένουν πάντα το κλικ σου, όπως είδαμε και με το spyware που έφτανε μέσα από διαφημίσεις.
Ούτε είναι η πρώτη φορά φέτος που ένα μόνο μήνυμα αρκεί για ζημιά. Θυμήσου την περίπτωση του Zimbra, όπου ένα email έφτανε για να παραβιαστούν mail servers.
Αν λοιπόν το κινητό σου έχει μείνει σε Android 12 ή 13 και το χρησιμοποιείς ακόμη για κλήσεις, ίσως αυτή είναι η αφορμή για αντικατάσταση. Το να μη σου κόβει κάποιος το 112 από απόσταση δεν είναι πολυτέλεια.
Συχνές ερωτήσεις
Τι είναι το SMS of Death στο Android;
Είναι ευπάθεια στον κώδικα τηλεφωνίας του Android. Ένα ειδικά διαμορφωμένο SMS δεδομένων WAP Push κάνει τη διεργασία των κλήσεων να καταρρεύσει, χωρίς καμία ενέργεια από τον χρήστη, και κόβει τις ενεργές κλήσεις.
Θα δω το κακόβουλο μήνυμα στα εισερχόμενα;
Όχι. Το μήνυμα φτάνει ως SMS δεδομένων, δεν εμφανίζεται στην εφαρμογή Μηνύματα και δεν δείχνει τον αριθμό του αποστολέα.
Ποιες εκδόσεις Android επηρεάζονται από το SMS of Death;
Σύμφωνα με τον ερευνητή που την ανακάλυψε, οι εκδόσεις Android 12 έως 17. Κατά τον ίδιο, η διόρθωση αφορά τα Android 14 έως 17, οπότε συσκευές με Android 12 και 13 χωρίς υποστήριξη μένουν εκτεθειμένες.
Πώς προστατεύομαι από το SMS of Death;
Εγκατάστησε την πιο πρόσφατη ενημέρωση ασφαλείας από τις Ρυθμίσεις και έλεγξε ξανά τον Νοέμβριο. Ο ερευνητής λέει ότι η διόρθωση μπήκε στην ενημέρωση Οκτωβρίου, όμως το CVE δεν εμφανίζεται στο δελτίο Οκτωβρίου της Google και αναμένεται σε αυτό του Νοεμβρίου.
Επηρεάζει τις κλήσεις έκτακτης ανάγκης;
Ναι. Κάθε crash τερματίζει τις ενεργές κλήσεις, και ο ερευνητής αναφέρει ρητά ότι αυτό περιλαμβάνει και τις κλήσεις έκτακτης ανάγκης.
