Android telefonlarda ortaya çıkarılan SMS of Death adlı güvenlik açığı, özel hazırlanmış bir mesajın cihazdaki arama hizmetini çökertmesine yol açabiliyor. Saldırı, kullanıcı mesajı açmadan ve herhangi bir bağlantıya dokunmadan gerçekleşebiliyor. Mesaj gelen kutusunda görünmeyebildiği için kullanıcı ne olduğunu fark etmeyebilir; buna rağmen cihazda devam eden bir telefon görüşmesi kesilebilir ve arama işlevleri etkilenebilir.

Açığın özellikle kaygı verici yanı, telefon görüşmelerinin yanı sıra acil servis aramalarını da sekteye uğratabilme ihtimali. Örneğin bir kişi yardım çağırmak için 911’i aradığında görüşme aniden kesilebilir. Bu durumun nedeni mutlaka şebeke sinyalinin kaybolması değildir: sorun, gelen mesajı işleyen Android bileşeninin çökmesi olabilir. Açık, kullanıcı müdahalesi gerektirmediğinden saldırının fark edilmesi ve önlenmesi de zorlaşabilir.

Özel hazırlanmış mesaj arama hizmetini nasıl etkiliyor?

Güvenlik araştırmacısı Mark Blaszczyk’in tespitine göre saldırı, Android’in belirli bir biçimdeki mesajı işlerken hata vermesinden yararlanıyor. Mesajın içeriği ve işlenme şekli, aramaları yöneten sistem bileşeninin kararsızlaşmasına ya da çökmesine neden olabiliyor. Mesajın gelen kutusunda görünmemesi, kullanıcıların olağan bir SMS bildirimi üzerinden saldırıyı fark etmesini engelleyebilir.

Arama hizmeti çöktüğünde o sırada yapılan görüşmeler kesilebilir. Daha önemlisi, sorun yalnızca tek bir görüşmeyle sınırlı kalmayabilir. Android aynı sorunlu mesajı yeniden işlemeye çalışırsa arama bileşeni tekrar tekrar hata verebilir. Blaszczyk, yaklaşık 20 mesajın telefonu neredeyse kullanılamaz hâle getirebileceğini belirtiyor. Bu sayı, her telefon ve yazılım yapılandırmasında kesin sonuç veren evrensel bir eşik olarak değerlendirilmemeli; etkiler cihaz modeline, Android sürümüne ve mesajın yeniden gönderilme biçimine göre değişebilir.

Tekrarlanan hatalar cihazın açılış döngüsüne, yani bootloop durumuna girmesine yol açabilir. Böyle bir durumda telefon açılmaya çalışır ancak işletim sistemi normal biçimde kullanılabilir hâle gelemeden yeniden başlar. Operatörün aynı sorunlu mesajları tekrar göndermesi, sorunun sürmesine neden olabilir. Bu nedenle telefonu fabrika ayarlarına döndürmek her durumda kalıcı çözüm sağlamayabilir; yeniden gönderilen mesajlar aynı arızayı yeniden tetikleyebilir.

Blaszczyk’in aktardığı kurtarma yöntemlerinden biri, cihazı bilgisayara bağlayıp sorunlu mesajları elle temizlemek. Ancak bu işlem teknik bilgi, uygun araçlar ve cihazın durumuna bağlı olarak ek adımlar gerektirebilir. Telefon normal biçimde açılmıyorsa mesajlara erişmek de zorlaşabilir. Dolayısıyla bu yöntem, çoğu kullanıcı için kolay ve güvenilir bir ilk yardım seçeneği sayılmaz.

Hangi telefonlar ve Android sürümleri risk altında?

Araştırmacı, açığı Google Pixel ve Samsung Galaxy cihazlarda yeniden üretebildiğini bildirdi. Açığa neden olan kodun Android 12’ye kadar uzandığı belirtiliyor. Bu bilgi, Android 12 kullanan her telefonun kesin olarak etkilendiği ya da daha yeni bütün cihazların korumasız olduğu anlamına gelmez. Gerçek risk; cihaz üreticisinin ilgili düzeltmeyi yayımlayıp yayımlamadığına, kullanıcının güncellemeyi yükleyip yüklemediğine ve telefondaki yazılım sürümüne bağlıdır.

Özellikle güvenlik güncellemesi almayan veya güncellemelerini uzun süredir yüklememiş eski cihazlar daha fazla risk taşıyabilir. Üreticiler Android güncellemelerini farklı tarihlerde ve farklı cihaz gruplarına dağıtabildiğinden, tek bir Android sürüm numarasına bakarak bütün telefonlar için kesin bir durum belirlemek mümkün değildir. Kullanıcıların kendi telefonlarının güvenlik yaması tarihini ve üreticinin yayımladığı güncelleme bilgilerini kontrol etmesi gerekir.

Google’ın düzeltmesi ve açıklama takvimi

Blaszczyk, açığı 5 Mayıs’ta Google’a bildirdi. Araştırmacının açıklamasına göre şirket, raporu birden fazla kez güvenlik sorunu olarak değerlendirmedi. Bunun üzerine Blaszczyk, 29 Ekim’de açığı kamuoyuna duyurdu ve çalışan bir gösterim yayımladı. Bu tarihler, araştırmacının aktardığı bildirim ve açıklama sürecini ifade ediyor; tek başına her cihazın ne zaman korunacağını göstermiyor.

Android kod kayıtlarında düzeltmenin 15 Haziran’da hazırlandığına dair bilgiler bulunuyor. Düzeltme, sistemin hatalı mesaja verdiği tepkiyi değiştirerek sorunlu içeriğin daha fazla zarara yol açmadan silinmesini amaçlıyor. GrapheneOS da X’te yaptığı açıklamada, düzeltmenin Temmuz ayında güvenlik önizlemelerine dağıtıldığını belirtti. Bununla birlikte, düzeltmenin kaynak kodunda hazırlanmış olması veya bir önizleme sürümüne eklenmesi, bütün Android telefonlara aynı anda ulaştığı anlamına gelmiyor.

Açık CVE-2026-58882 koduyla takip ediliyor ve Kritik önem derecesiyle tanımlanıyor. Düzeltmenin Kasım Android Güvenlik Bülteni’nde yer almasının beklendiği bildiriliyor. Blaszczyk ise Google’ın düzeltmeyi Android 14’ten Android 17’ye kadar olan sürümlere yönelik Ekim güncellemelerine eklediğini aktardı. GrapheneOS’un Temmuz önizlemeleri ve Kasım bülteni hakkındaki açıklamalarıyla bu bilgi ilk bakışta farklı takvimlere işaret etse de, güvenlik düzeltmelerinin geliştirici önizlemelerine, üretici paketlerine ve kamuya açık bültenlere farklı zamanlarda girmesi mümkün.

Google’ın açıklama ve dağıtım takvimindeki farklılıkların nedeni netleşmiş değil. Bir iç iletişim kopukluğu veya yinelenen bir güvenlik raporu olası açıklamalar arasında yer alıyor; ancak bunlar doğrulanmış nedenler değil. Ayrıca Android ekosisteminde Google’ın kod düzeyinde hazırladığı bir düzeltmenin telefon üreticileri tarafından cihazlara uyarlanması, test edilmesi ve dağıtılması zaman alabilir. Bu nedenle bir düzeltmenin hazırlandığı tarih, kullanıcının telefonunda güncellemenin kullanılabilir olduğu tarihle aynı olmayabilir.

Kullanıcılar şu anda ne yapmalı?

Telefonunuz için sunulan en son güvenlik güncellemesini yükleyin. Ayarlar bölümündeki sistem güncellemesi ekranını kontrol edin ve cihaz üreticisinin güvenlik duyurularını takip edin. Güncelleme henüz görünmüyorsa bu, telefonun kesin olarak korumasız olduğu ya da güncellemenin hiç sunulmayacağı anlamına gelmez; dağıtım cihaz modeline, bölgeye ve operatöre göre gecikebilir. Ancak güvenlik güncellemelerini ertelememek, bilinen açıkların giderilmesi açısından önemlidir.

Şüpheli bir SMS’i açmamak tek başına yeterli bir önlem olmayabilir; çünkü bildirilen saldırı mesajın kullanıcı tarafından açılmasını gerektirmiyor. Bununla birlikte, bilinmeyen mesajlara veya bağlantılara yanıt vermemek genel güvenlik açısından yararlıdır. Telefon beklenmedik biçimde yeniden başlıyor, aramalar kesiliyor ya da arama hizmeti çalışmıyorsa, cihazı ve mesajları incelemeden fabrika ayarlarına sıfırlamak yerine üreticinin destek kanallarından veya güvenilir teknik servisten yardım alın. Özellikle acil iletişim ihtimali bulunan kullanıcıların, telefonlarında güncel güvenlik yazılımı bulunduğundan emin olmaları önem taşır.

Özetle SMS of Death, sıradan bir SMS’in kullanıcı etkileşimi olmadan Android’de arama işlevlerini bozabileceğini gösteren ciddi bir güvenlik sorunu. Açığın etkisi her cihazda aynı olmayabilir ve düzeltmenin telefona ulaşma zamanı üreticiye göre değişebilir. Bu nedenle en güvenilir yaklaşım, cihaz güncellemelerini düzenli kontrol etmek ve üreticinin yayımladığı güvenlik düzeltmelerini mümkün olan en kısa sürede yüklemektir.