Tóm tắt nhanh
- Lỗ hổng SMS of Death khai thác cách Android xử lý một gói WAP Push, không phải tin nhắn lừa đảo buộc người dùng bấm liên kết.
- Một gói được tạo sai có thể làm tiến trình telephony sập, ngắt cuộc gọi và khiến máy liên tục khởi động lại nếu thông điệp bị nhà mạng gửi lại.
- Google đã thêm xử lý lỗi vào AOSP; bản vá được đưa vào cập nhật bảo mật Android tháng 10/2026 cho Android 14–17.
- Hãy cài bản cập nhật bảo mật mới nhất mà nhà sản xuất phát hành cho thiết bị; Android 12–13 nằm ngoài dải phiên bản được liệt kê trong bản vá này.
Một tin WAP Push không hiện trong hộp thư có thể khiến dịch vụ điện thoại trên Android ngừng hoạt động, bởi lỗi nằm ở bước hệ thống giải mã dữ liệu chứ không phải ở ứng dụng nhắn tin. Mark Blaszczyk công bố lỗ hổng SMS of Death ngày 29/10; mã nguồn AOSP cho thấy Google đã sửa một lỗi từ xa trong thành phần này từ giữa tháng 6/2026.
Một phép ép kiểu sai có thể làm sập tiến trình điện thoại
Android xử lý WAP Push trong thành phần telephony của hệ thống. Theo phân tích kỹ thuật của nhà nghiên cứu, hàm giải mã đọc độ dài phần header dưới dạng số nguyên 64-bit, sau đó ép sang số nguyên 32-bit có dấu mà không kiểm tra giới hạn. Một giá trị đủ lớn có thể biến thành số âm; khi được dùng làm kích thước mảng, nó gây ra lỗi NegativeArraySizeException và làm tiến trình com.android.phone thoát.
Đây là lý do cuộc tấn công được gọi là zero-click: WAP Push được gửi như một SMS dữ liệu tới cổng 2948 và xử lý ngầm, không xuất hiện như tin nhắn thông thường để người dùng mở hay nhấn vào. Lỗi đánh vào dịch vụ điện thoại của Android, nên cuộc gọi đang diễn ra có thể bị ngắt và máy có thể mất sóng trong lúc tiến trình khởi động lại. Nếu cuộc gọi khẩn cấp bị ảnh hưởng, hậu quả nghiêm trọng hơn nhiều so với việc phải khởi động lại ứng dụng.
Tin chưa được xác nhận có thể bị gửi lại sau mỗi lần khởi động
Rủi ro lớn hơn một lần sập nằm ở cơ chế giao nhận. Theo phân tích của Blaszczyk, khi thiết bị không xử lý và xác nhận được tin độc hại, nhà mạng có thể gửi lại thông điệp đang chờ. Bởi vậy, một lần lỗi có thể lặp lại; nhiều tin liên tiếp được cho là có thể đẩy thiết bị vào vòng khởi động liên tục. Nhà nghiên cứu mô tả khoảng 20 tin nhắn có thể khiến thiết bị không dùng được trong thời gian dài.
Điều này cũng giải thích vì sao khôi phục cài đặt gốc không mặc nhiên giải quyết được tình huống: nếu thông điệp vẫn được gửi lại sau khi máy lên, nguyên nhân có thể tái xuất hiện. Bản phân tích kỹ thuật nêu một phương án khôi phục qua ADB để xóa các mục tin đang chờ, nhưng đây là thao tác dành cho người có kinh nghiệm và có thể làm mất dữ liệu nếu dùng lệnh sai. Người gặp vòng lặp khởi động nên liên hệ nhà sản xuất hoặc đơn vị sửa chữa, thay vì thử lệnh lấy trên mạng hay chọn xóa toàn bộ dữ liệu một cách vội vàng.
Bản vá của Google chặn vòng lặp bằng cách xử lý lỗi và xóa tin lỗi
Commit 735d967 trong AOSP ghi ngày 15/6/2026, với nội dung sửa lỗi từ chối dịch vụ từ xa trong decodeWapPdu. Thay vì chỉ chặn riêng một ngoại lệ, thay đổi này bắt RuntimeException ở bước giải mã và phát tin, đồng thời xóa mục gây lỗi khỏi cơ sở dữ liệu tin nhắn thô khi xử lý thất bại. Cách làm nhằm ngăn cùng một thông điệp độc hại tiếp tục khiến dịch vụ sập sau khi được gửi lại hoặc khi máy khởi động.
Trang công bố của nhà nghiên cứu liệt kê Android 12–17 là các phiên bản bị ảnh hưởng và Android 14–17 là dải nhận bản vá trong cập nhật tháng 10/2026. Điều đó không bảo đảm mọi thiết bị chạy các phiên bản này đã nhận bản cập nhật cùng lúc: lịch phát hành còn phụ thuộc hãng sản xuất và nhà mạng. Người dùng nên kiểm tra mục Cập nhật phần mềm và mức bản vá bảo mật Android trên điện thoại, rồi cài bản mới nhất thiết bị cung cấp.
Máy cũ cần kiểm tra tình trạng hỗ trợ bảo mật
Khoảng trống đáng lưu ý là các thiết bị Android 12–13, vốn được mô tả là không nằm trong nhánh cập nhật sửa lỗi này. Nếu nhà sản xuất đã ngừng cập nhật cho máy, người dùng không thể khắc phục bằng cách đổi ứng dụng SMS: lỗi nằm trong framework telephony. Trong trường hợp đó, nên hỏi hãng về cập nhật bảo mật còn được hỗ trợ và cân nhắc chuyển sang thiết bị vẫn nhận bản vá nếu điện thoại là phương tiện liên lạc thiết yếu.
Mark Blaszczyk cho biết ông báo cáo vấn đề với Google từ ngày 5/5/2026, nhưng ban đầu bị xem là không thuộc phạm vi bảo mật; Google tạo bản sửa vào tháng 6, trước khi chi tiết được công khai cuối tháng 10. Đây là trình tự do nhà nghiên cứu thuật lại và mã AOSP xác nhận thời điểm commit, không phải thông báo chính thức của Google về quá trình tiếp nhận báo cáo.
Nguồn tham khảo: Android Open Source Project; Mark Blaszczyk – SMS of Death; Android Authority; GSMArena.
