นักวิจัยด้านความปลอดภัยได้เปิดเผย Proof-of-Concept สำหรับช่องโหว่ Android ที่ถูกแก้ไขไปแล้ว ซึ่งถูกเรียกว่า “SMS of Death” และมีรหัส CVE-2026-58882 ช่องโหว่นี้ทำให้ผู้โจมตีสามารถรบกวนบริการเซลลูลาร์หรือทำให้โทรศัพท์ขัดข้องได้โดยการส่งข้อความ SMS ที่ถูกสร้างขึ้นเป็นพิเศษ
ช่องโหว่แบบ Zero-click นี้สามารถขัดจังหวะการโทรที่กำลังดำเนินอยู่ รวมถึงการโทรฉุกเฉิน โดยไม่จำเป็นต้องมีการโต้ตอบใดๆ จากเป้าหมาย ซึ่งการทำงานของ Android จะประมวลผลข้อความก่อนเข้าสู่กล่องจดหมาย ทำให้เหยื่อไม่ทราบสาเหตุที่โทรศัพท์ดับ
สาเหตุของปัญหานี้มาจากการตรวจสอบที่ไม่ถูกต้องของค่า header-length ในฟังก์ชัน WapPushOverSms.decodeWapPdu ของ Android เมื่อกระบวนการ com.android.phone จัดการฟังก์ชันเซลลูลาร์ การขัดข้องนี้จะรบกวนการเชื่อมต่อมือถือและตัดการติดต่อทั้งหมด
ในอุปกรณ์ Android 12 หนึ่งเครื่อง โทรศัพท์อาจรีบูตเข้าสู่โหมด Recovery ทุกประมาณ 90 วินาที ซึ่งต้องทำการรีเซ็ตจากโรงงานเพื่อกู้คืน แม้ว่าจะมีวิธีใช้ Android Debug Bridge (ADB) เพื่อลบข้อความที่เป็นอันตราย แต่ก็ต้องใช้ความรู้ทางเทคนิคขั้นสูง
การแก้ไขของ Google ที่มีชื่อว่า “Fix remote DoS in decodeWapPdu” ได้ป้องกันการขัดข้องเหล่านี้โดยการดักจับข้อยกเว้นที่เกิดขึ้นเมื่อ Android ประมวลผลข้อความที่ไม่ถูกต้อง
ศัพท์ที่ควรรู้
- Proof-of-Concept – การสาธิตการทำงานของช่องโหว่เพื่อพิสูจน์ว่าการโจมตีนั้นเป็นไปได้จริง
- CVE-2026-58882 – รหัสมาตรฐานที่ใช้ระบุช่องโหว่ด้านความปลอดภัยนี้
- Zero-click – การโจมตีที่ไม่จำเป็นต้องมีการโต้ตอบใดๆ จากอุปกรณ์เป้าหมาย
- com.android.phone – กระบวนการของ Android ที่จัดการฟังก์ชันการทำงานของเครือข่ายเซลลูลาร์
ที่มา: bleepingcomputer.com