SMS of Death: Lỗ hổng Android cho phép crash điện thoại chỉ bằng một tin nhắn

Một lỗ hổng bảo mật nghiêm trọng trên hệ điều hành Android vừa được công bố công khai, mang tên “SMS of Death”. Lỗ hổng này cho phép kẻ tấn công từ xa làm gián đoạn kết nối di động, ngắt cuộc gọi đang diễn ra (kể cả cuộc gọi khẩn cấp) chỉ bằng cách gửi một tin nhắn SMS đặc biệt, mà nạn nhân hoàn toàn không cần thực hiện bất kỳ thao tác nào.

Lỗ hổng được theo dõi với mã CVE-2026-58882. Theo nhà nghiên cứu bảo mật Mark Blaszczyk (còn được biết đến với tên Mark B), vấn đề nằm ở hàm xử lý tin nhắn WAP Push trong thành phần WapPushOverSms của Android. Khi nhận được một tin nhắn WAP Push bị lỗi định dạng (chỉ dài 8 byte), hệ thống sẽ cố gắng cấp phát bộ nhớ với một giá trị âm, dẫn đến lỗi

NegativeArraySizeException và khiến tiến trình com.android.phone bị crash. Tiến trình này chịu trách nhiệm quản lý cuộc gọi và kết nối di động, nên việc nó bị dừng sẽ khiến tín hiệu bị mất tạm thời và các cuộc gọi đang diễn ra bị ngắt đột ngột.

Điểm đáng chú ý là tin nhắn độc hại không xuất hiện trong hộp thư SMS, cũng không hiện thông báo. Android xử lý nó ở tầng hệ thống trước khi đưa vào hộp thư, khiến người dùng hầu như không biết nguyên nhân điện thoại bị mất sóng hoặc cuộc gọi bị cắt. Nếu kẻ tấn công gửi khoảng 20 tin nhắn như vậy, một số thiết bị có thể rơi vào vòng lặp khởi động lại liên tục, thậm chí phải thực hiện reset nhà máy hoặc dùng công cụ ADB mới khôi phục được.

Về timeline, nhà nghiên cứu đã báo cáo lỗ hổng cho Google từ ngày 5 tháng 5 năm 2026 thông qua chương trình Android & Devices Vulnerability Reward Program. Đến ngày 15 tháng 6, kỹ sư của Google đã viết commit sửa lỗi mang tên “Fix remote DoS in decodeWapPdu”.

Commit sửa lỗi trên AOSP: Link commit , Link xem diff (thay đổi code) Bản tin bảo mật chính thức của Google (tháng 10/2026) Trang gốc của nhà nghiên cứu báo cáo lỗi

Bản vá sau đó được đưa vào các bản cập nhật bảo mật tháng 10 năm 2026 cho Android 14 đến Android 17. Tuy nhiên, lỗ hổng không được liệt kê trong bản tin bảo mật chính thức tháng 10 của Google. Các thiết bị chạy Android 12 và 13 vẫn còn lỗ hổng vì đã hết thời gian hỗ trợ cập nhật bảo mật.

Ngày 29 tháng 10 năm 2026, Mark Blaszczyk quyết định công bố chi tiết kỹ thuật cùng mã proof-of-concept sau khi Google từng có động thái xếp loại đây là vấn đề “không thuộc phạm vi bảo mật”. Việc công bố khiến rủi ro tăng cao, vì bất kỳ ai có số điện thoại của nạn nhân đều có thể thử tấn công.

Mức độ nghiêm trọng của lỗ hổng được đánh giá ở mức Critical. Dù không cho phép chiếm quyền điều khiển thiết bị hay đánh cắp dữ liệu, khả năng ngắt cuộc gọi khẩn cấp và khiến điện thoại tạm thời không sử dụng được khiến nó trở nên đáng lo ngại, đặc biệt với người dùng còn đang dùng máy Android cũ.

Hiện tại, người dùng Android 14 trở lên nên kiểm tra và cài đặt bản cập nhật bảo mật mới nhất càng sớm càng tốt. Với những máy chạy Android 12 hoặc 13, gần như không còn cách vá chính thức. Trong trường hợp bị ảnh hưởng, người dùng có thể thử xóa tin nhắn độc hại bằng ADB hoặc thực hiện reset nhà máy, dù đây không phải giải pháp thuận tiện.

Android 12, 13, 14 mặc dù cũng tương đối cũ rồi, nhưng lượng thiết bị dụng các bản Android này cũng khá nhiều, nên phạm vi ảnh hưởng cũng là không nhỏ.

Nếu muốn tránh lỗi bảo mật này, có thể làm các việc như sau:

Android 12 hoặc 13: không có bản vá lỗi chỉnh thức từ Google, nếu máy hỗ trợ thì update lên Android mới hơn. Android 14 đến 17 có thể update bản cập nhật tháng 10/2026.

Lỗ hổng “SMS of Death” một lần nữa cho thấy rủi ro đến từ các thành phần xử lý tin nhắn cũ trên Android. Việc các thiết bị cũ không còn được hỗ trợ cập nhật khiến hàng triệu người dùng vẫn nằm trong tầm ngắm của các cuộc tấn công tương tự trong tương lai.