התכל׳ס
- הודעת SMS מיוחדת, שלא מופיעה בתיבת ההודעות, גורמת לרכיב השיחות של Android לקרוס ומנתקת שיחות פעילות.
- לפי החוקר, כ-20 הודעות כאלה ברצף יכולות להכניס את הטלפון ללולאה של הפעלות מחדש.
- Google הכניסה תיקון לעדכוני האבטחה של אוקטובר לגרסאות 14 עד 17 של Android. גרסאות 12 ו-13 לא קיבלו תיקון.
- ההגנה היחידה היא עדכון: כדאי לבדוק בהגדרות שתאריך עדכון האבטחה הוא אוקטובר 2026 ואילך.
חוקר האבטחה העצמאי מארק בלאשצ׳יק פרסם ב-29 באוקטובר פרטים וקוד הדגמה לפרצה ב-Android, שזכתה לכינוי SMS of Death. הפרצה, שמספרה הרשמי CVE-2026-58882, מאפשרת לשלוח לטלפון הודעת SMS שנבנתה במיוחד וגורמת לרכיב השיחות של המערכת לקרוס. המשתמש לא צריך ללחוץ על שום דבר, וההודעה גם לא מופיעה בתיבת ההודעות.
איך התקיפה עובדת
ההודעה היא מסוג WAP Push, פורמט של הודעות מערכת שנשלחות דרך הרשת הסלולרית. לפי BleepingComputer, הטלפון מעבד את ההודעה עוד לפני שהיא מגיעה לתיבת ההודעות. ערך אורך שגוי בכותרת ההודעה הופך למספר שלילי, והתוכנה קורסת כשהיא מנסה להקצות זיכרון בגודל הזה. הרכיב שקורס נקרא com.android.phone, והוא אחראי על החיבור הסלולרי של הטלפון.
כל קריסה מנתקת את הטלפון מהרשת לשנייה או שתיים, ושיחה פעילה נקטעת, כולל שיחה לקו חירום. הטלפון לא מאשר שקיבל את ההודעה, ולכן חברת הסלולר שולחת אותה שוב והקריסות חוזרות. לפי האתר CyberInsider, הודעה אחת גרמה לשיבושים לסירוגין במשך עד שבוע. לפי החוקר, כ-20 הודעות ברצף יכולות להכניס את הטלפון ללולאה של הפעלות מחדש, ואיפוס להגדרות היצרן עוזר רק זמנית כי ההודעות נשלחות שוב.
לפי החוקר, התקיפה עבדה בכל הניסיונות על מכשירי Pixel של Google ועל מכשירי Galaxy של Samsung, כולל דגמים מסדרת A. בבדיקה שתוארה ב-BleepingComputer, מכשיר עם גרסה 12 של Android נכנס למצב שחזור בערך כל דקה וחצי, ורק איפוס מלא החזיר אותו לעבודה.
מי קיבל תיקון ומי לא
החוקר דיווח ל-Google על הבעיה ב-5 במאי. לפי CyberInsider, Google סיווגה את הדיווח כבעיה שאינה בעיית אבטחה, וחזרה על הסיווג הזה גם ב-29 באוקטובר. במקביל, שינוי בקוד שמטפל בבעיה נכנס למערכת כבר ב-15 ביוני, והוא נכלל בעדכוני האבטחה של אוקטובר לגרסאות 14 עד 17 של Android. לפי BleepingComputer, הפרצה לא מופיעה בעלון האבטחה של Google לחודש אוקטובר. לפי מערכת ההפעלה GrapheneOS, שמבוססת על Android, הפרצה תופיע בעלון האבטחה של נובמבר.
גרסאות 12 ו-13 של Android לא קיבלו תיקון, וגם מכשירים שהיצרן כבר לא מעדכן יישארו חשופים. קוד ההדגמה פורסם ב-GitHub, ולכן קל יותר לנצל את הפרצה. בדיווחים שפורסמו עד כה אין עדות לתקיפות בפועל.
מה לעשות
הפרצה נוגעת לבעלי טלפון Android גם בישראל. התקיפה לא דורשת שום פעולה מצד המשתמש, ולכן זהירות מקישורים והודעות חשודות לא עוזרת כאן. ההגנה היא עדכון המערכת.
- לבדוק בהגדרות הטלפון, תחת ״אודות הטלפון״ או ״עדכון תוכנה״, מה תאריך עדכון האבטחה של Android. לפי הדיווחים, עדכון מאוקטובר 2026 ואילך כולל את התיקון.
- להתקין כל עדכון מערכת זמין ולהפעיל את הטלפון מחדש כדי שההתקנה תושלם. מועד ההגעה של העדכון תלוי ביצרן ובחברת הסלולר.
- טלפון שתקוע על גרסה 12 או 13 של Android, או שהיצרן הפסיק לעדכן אותו, נשאר חשוף ואין לו כרגע תיקון.
- אם הטלפון כבר נכנס ללולאת קריסות: לפי החוקר, אפשר להעביר את כרטיס ה-SIM לטלפון שאינו Android כדי לקבל את ההודעות התקועות, ואז למחוק אותן מהטלפון דרך כלי הפיתוח שנקרא ADB. השיטה דורשת ידע טכני, ובמכשירים עם eSIM היא מסובכת יותר.
הניוזלטר של אנטנה
פעם בשבוע, מייל אחד: הכתבות החשובות של השבוע, מה הגיע לישראל ובכמה.
