Baru-baru ini, ditemukan kerentanan serius di Android yang bisa bikin ponsel crash hanya dengan pesan SMS yang dirancang khusus. Coba bayangkan, kamu sedang berbicara di telepon Android dan tiba-tiba koneksi mobile hilang, tanpa penjelasan. Panggilan terputus dan kamu bahkan tidak akan tahu kenapa. Hal ini bisa berulang kali terjadi, hingga ponsel masuk ke mode pemulihan dan reboot setiap satu setengah menit, yang hanya bisa diatasi dengan reset pabrik.
Ini bukan skenario khayalan, melainkan akibat dari kerentanan berbahaya yang dilacak dengan CVE-2026-58882. Google sudah mengatasi masalah ini untuk versi Android terbaru, tetapi perangkat yang sudah usang tetap berisiko.
Kecelakaan SMS Mematikan
Bug ini ditemukan oleh peneliti keamanan Mark Blah dan digambarkan sebagai kerentanan denial of service (DoS) dengan nol klik. Dalam istilah teknis, ini adalah bug “validasi yang tidak tepat dari nilai panjang header” dalam fungsi WapPushOverSms.decodeWapPdu di Android. Nama panggilannya “SMS of Death” karena dapat dieksploitasi hanya dengan mengirimkan pesan SMS, yang bahkan tidak perlu dibuka oleh korban.
Blah menemukan bahwa aktor jahat dapat mengirimkan pesan WAP Push yang salah bentuk ke port 2948 perangkat Android. Karena ini adalah pesan heksadesimal, ketika diterjemahkan menjadi bilangan bulat 32-bit yang ditandatangani, nilainya menjadi -2147483648. Android mencoba untuk mengalokasikan memori menggunakan nilai negatif ini, yang memicu kesalahan NegativeArraySizeException yang membuat proses com.android.phone crash. Proses ini mengatur fungsi seluler, sehingga panggilan terputus dan konektivitas mobile terganggu, bahkan layanan darurat pun terkena dampaknya.
Yang lebih parah, Android memproses pesan sebelum sampai ke inbox, jadi korban tidak akan diberi tahu dan tidak akan sadar bahwa pesan tersebut adalah penyebab sistem crash. Selain itu, beberapa penyedia mungkin mencoba mengirim ulang pesan yang tidak sampai ke inbox, yang memperburuk situasi. Android juga terus berusaha memproses pesan yang sudah tersimpan di ponsel.
Blah juga menemukan bahwa jika aktor jahat mengirim lebih dari 20 pesan, mereka bisa memaksa perangkat masuk ke loop reboot. Pada perangkat Android 12, mereka dapat memaksa mode pemulihan berulang, menjadikan reset pabrik sebagai satu-satunya pilihan.
Menambal SMS Mematikan
Awalnya, semua versi Android terpengaruh. Google sudah menambal untuk versi 14 hingga 17, tetapi perangkat yang lebih tua tidak akan mendapatkan patch dan tetap berisiko tanpa batas waktu. Solusinya, “Mengatasi remote DoS dalam decodeWapPdu”, mencegah crash dengan menangkap pengecualian yang dipicu saat Android memproses pesan teks yang salah. Selain itu, pesan tersebut dihapus dari database SMS agar tidak memicu crash berulang.
Blah telah merilis bukti-konsep (PoC), menunjukkan kepada komunitas cara memanfaatkan celah ini. Beberapa sumber melaporkan bahwa seorang kontributor di GitHub menemukan cara untuk menghapus pesan berbahaya ini, namun memerlukan pengetahuan teknis yang lebih dalam. Ini adalah sesuatu yang mungkin tidak dimiliki oleh sebagian besar pengguna ponsel. Namun, bagi yang ingin mencoba, pesan tersebut bisa dihapus melalui komputer menggunakan Android Debug Bridge (ADB).
Google dilaporkan sudah menambal bug ini dalam pembaruan keamanan Android bulan Oktober 2026, tetapi itu tidak otomatis menjamin semua pengguna Android aman. Tidak seperti ekosistem Apple yang terintegrasi, Android lebih terdistribusi dengan berbagai produsen yang memiliki jadwal pembaruan berbeda. Jadi, pengguna Pixel mungkin sudah mendapatkan pembaruan ini, sedangkan pengguna Samsung, Xiaomi, Motorola, atau OnePlus mungkin harus menunggu lebih lama sampai produsen mereka menerapkan perbaikan dan mendorong pembaruan.
Mengingat PoC sudah dirilis, bisa diasumsikan sebagian besar produsen Android mungkin sudah mendorong pembaruan mereka. Pengguna disarankan untuk segera menginstal pembaruan tersebut.
