Eksploitasi Celah Keamanan “SMS of Death” Android Dirilis, Bisa Buat Ponsel Crash dari Jarak Jauh
Sebuah proof-of-concept (PoC) exploit untuk celah keamanan Android yang baru saja ditambal kini telah dipublikasikan oleh peneliti keamanan siber. Kerentanan yang dijuluki sebagai “SMS of Death” dan dilacak dengan kode identifikasi CVE-2026-58882 ini memungkinkan pelaku ancaman memutus layanan seluler atau membuat perangkat target mengalami crash dari jarak jauh hanya dengan mengirimkan pesan teks yang dirancang khusus.
Celah keamanan berjenis zero-click Denial-of-Service (DoS) ini dinilai sangat berbahaya karena mampu menghentikan panggilan telepon yang sedang berlangsung—termasuk panggilan ke layanan darurat—tanpa memerlukan interaksi apa pun dari sang pemilik perangkat. Lebih mengkhawatirkannya lagi, sistem operasi Android langsung memproses pesan berbahaya tersebut di latar belakang sebelum sempat masuk ke kotak masuk (inbox) SMS. Akibatnya, korban sama sekali tidak akan melihat indikasi atau jejak pesan apa yang menyebabkan ponsel mereka tiba-tiba mengalami crash.
Berdasarkan laporan dari peneliti keamanan Mark Blah, pihak Google sebenarnya telah mendistribusikan tambalan (patch) untuk mengatasi celah ini melalui pembaruan keamanan Android periode Oktober 2026 yang mencakup Android 14 hingga Android 17. Kendati demikian, CVE-2026-58882 tidak tercantum di dalam buletin keamanan resmi Google untuk bulan Oktober. Sementara itu, perangkat lawas yang masih menjalankan sistem operasi Android 12 dan Android 13 dipastikan tetap rentan karena tidak lagi mendapatkan pembaruan perbaikan tersebut.
Cara Kerja Eksploitasi “SMS of Death”
Dalam analisis teknis yang dipublikasikan, kerentanan ini berakar dari proses validasi nilai header-length yang tidak tepat pada fungsi WapPushOverSms.decodeWapPdu di dalam sistem Android.
Untuk mengeksploitasi celah tersebut, penyerang hanya perlu mengirimkan pesan WAP Push berukuran delapan byte yang telah dimodifikasi (malformed) ke nomor telepon target. Rangkaian kode heksadesimal 01 06 88 80 80 80 00 BE dikirimkan sebagai data SMS menuju port 2948.
Ketika nilai tersebut diterjemahkan oleh sistem menjadi signed 32-bit integer tanpa melalui mekanisme bounds check, nilainya berubah menjadi angka negatif -2147483648. Saat Android mencoba mengalokasikan memori menggunakan nilai negatif tersebut, sistem secara otomatis memicu error NegativeArraySizeException yang langsung menghentikan paksa (crash) proses com.android.phone.
Mengingat com.android.phone merupakan komponen krusial yang mengelola seluruh fungsi jaringan seluler, berhentinya proses ini secara instan akan memutus konektivitas jaringan seluler serta menghentikan panggilan telepon aktif, tidak terkecuali panggilan darurat.
Risiko Bootloop hingga Factory Reset
Selain memutus sinyal secara instan, serangan ini juga dapat memicu crash berulang kali apabila jaringan operator seluler terus mencoba mengirim ulang pesan berbahaya tersebut, atau ketika sistem Android berupaya memproses ulang pesan yang sudah terlanjur tersimpan di dalam memori perangkat.
Dalam pengujian yang dilakukan, pengiriman 20 pesan berbahaya secara berturut-turut terbukti sanggup membuat ponsel terjebak dalam kondisi reboot loop (bootloop). Pada salah satu perangkat bersistem operasi Android 12 yang diuji, ponsel terus-menerus melakukan reboot ke halaman recovery mode setiap sekitar 90 detik sekali. Kondisi tersebut memaksa pengguna melakukan factory reset agar perangkat dapat kembali beroperasi normal.
Seorang kontributor di platform GitHub bernama Sakis sempat menemukan metode alternatif untuk menghapus pesan berbahaya tersebut menggunakan bantuan Android Debug Bridge (ADB). Namun, prosedur pemulihan ini menuntut pemahaman teknis tingkat lanjut serta akses fisik ke perangkat komputer.
Di sisi lain, pihak Google melalui patch bertajuk “Fix remote DoS in decodeWapPdu” telah mencegah terjadinya crash dengan cara menangkap exception yang muncul ketika sistem memproses pesan teks yang rusak tersebut. Pembaruan ini juga secara otomatis menghapus pesan berbahaya dari database SMS guna mencegah terulangnya siklus crash di kemudian hari.
Mengingat proof-of-concept exploit yang mampu mengirimkan pesan berbahaya dari perangkat Android lain kini telah beredar luas di publik, para pengguna sangat disarankan untuk segera memeriksa dan memasang security update terbaru. Meski pembaruan keamanan Android umumnya terpasang secara otomatis pada perangkat yang masih didukung, ketersediaan patch tetap bergantung pada masing-masing produsen ponsel (OEM) serta operator seluler, dan pengguna perlu melakukan restart perangkat untuk menyelesaikan proses instalasi.
Sumber: Google Android
