Celah Android Lumpuhkan Ponsel Lewat SMS

Celah Android Lumpuhkan Ponsel Lewat SMS – Pengguna Android perlu mewaspadai kerentanan keamanan yang memungkinkan penyerang mengganggu layanan seluler hingga menyebabkan ponsel mengalami crash hanya dengan mengirimkan pesan SMS khusus.

Kerentanan yang dijuluki SMS of Death ini tidak membutuhkan interaksi korban, seperti membuka pesan atau mengeklik tautan, sehingga termasuk serangan zero-click.

Kerentanan tersebut teridentifikasi sebagai CVE-2026-58882. Dampaknya bukan sekadar membuat aplikasi pesan berhenti bekerja. Dalam kondisi tertentu, serangan dapat memutus panggilan telepon yang sedang berlangsung, termasuk panggilan darurat. Bahkan, pengiriman pesan berulang dapat menyebabkan perangkat terjebak dalam siklus restart.

Temuan ini menjadi perhatian setelah seorang peneliti keamanan merilis proof-of-concept (PoC), yaitu kode demonstrasi yang memperlihatkan bagaimana kerentanan dapat dieksploitasi. Dengan tersedianya PoC, pihak lain dapat mempelajari dan menguji mekanisme serangan tersebut.

SMS Berbahaya yang Tidak Perlu Dibuka

Berbeda dari SMS phishing yang mengandalkan korban untuk mengeklik tautan atau memberikan informasi pribadi, serangan SMS of Death bekerja dengan memanfaatkan cara Android memproses jenis pesan tertentu.

Serangan ini menggunakan pesan khusus bernama WAP Push yang dikirim melalui SMS ke port 2948. Pesan tersebut biasanya digunakan untuk mengirimkan informasi atau konfigurasi tertentu ke perangkat seluler.

Masalah muncul ketika Android memproses pesan dengan format yang telah dimanipulasi. Sistem tidak melakukan pemeriksaan yang memadai terhadap nilai panjang data pada bagian header pesan. Akibatnya, nilai yang seharusnya menunjukkan ukuran data justru dapat diterjemahkan menjadi angka negatif yang sangat besar.

Ketika sistem mencoba menggunakan nilai tersebut untuk mengalokasikan memori, proses mengalami kesalahan yang disebut NegativeArraySizeException. Kesalahan ini menyebabkan proses com.android.phone mengalami crash.

Komponen tersebut memiliki peran penting dalam mengelola fungsi telepon dan konektivitas seluler Android. Ketika prosesnya berhenti, perangkat dapat kehilangan koneksi jaringan dan panggilan telepon yang sedang berlangsung terputus.

Karena pesan diproses sebelum masuk ke kotak masuk SMS, pengguna bahkan tidak melihat pesan mencurigakan yang menjadi penyebab gangguan.

Memutus Panggilan Darurat & Picu Restart Berulang

Dampak kerentanan ini menjadi lebih serius ketika serangan dilakukan berulang kali. Peneliti menemukan bahwa operator seluler dapat mencoba mengirimkan kembali pesan yang gagal diproses. Android juga berpotensi kembali memproses pesan berbahaya yang tersimpan di perangkat.

Dalam pengujian, pengiriman 20 pesan berbahaya dapat membuat sejumlah perangkat terjebak dalam siklus restart atau reboot loop. Pada salah satu perangkat Android 12 yang diuji, ponsel berulang kali masuk ke mode pemulihan setiap sekitar 90 detik.

Kondisi tersebut dapat membuat perangkat sulit digunakan secara normal. Dalam pengujian itu, pemulihan bahkan memerlukan pengaturan ulang ke kondisi pabrik atau factory reset.

Ada cara untuk menghapus pesan berbahaya menggunakan Android Debug Bridge (ADB), tetapi metode ini membutuhkan komputer dan pengetahuan teknis lebih lanjut. Dengan demikian, pengguna awam mungkin kesulitan memulihkan perangkat apabila sudah mengalami gangguan serius.

Hal lain yang perlu diperhatikan adalah kemungkinan terputusnya panggilan darurat. Karena serangan dapat mengganggu proses yang mengelola konektivitas seluler, panggilan darurat yang sedang berlangsung juga berpotensi terputus. Risiko ini membuat kerentanan tersebut tidak hanya berkaitan dengan kenyamanan penggunaan ponsel, tetapi juga keselamatan pengguna.

Google Telah Menyiapkan Perbaikan

Menurut peneliti yang mengungkap kerentanan ini, Google telah memperbaiki masalah tersebut melalui pembaruan keamanan Android Oktober 2026 untuk Android 14 hingga Android 17.

Perbaikan dilakukan dengan menangani kesalahan yang muncul ketika Android memproses pesan WAP Push dengan format tidak valid. Sistem juga menghapus pesan berbahaya dari basis data SMS agar pesan yang sama tidak terus memicu crash.

Namun, terdapat hal yang perlu diperhatikan. Kerentanan ini tidak tercantum dalam buletin keamanan Android Oktober 2026 yang dipublikasikan Google. Selain itu, perangkat Android 12 dan 13 disebut belum memperoleh perbaikan tersebut.

Ketersediaan pembaruan juga bergantung pada produsen perangkat dan operator seluler. Karena itu, tidak semua pengguna akan menerima pembaruan pada waktu yang sama.

Langkah yang Perlu Dilakukan Pengguna Android

Dengan dirilisnya PoC, pengguna Android sebaiknya memastikan perangkat mendapatkan pembaruan keamanan terbaru. Beberapa langkah berikut dapat dilakukan:

Periksa pembaruan keamanan Android. Buka pengaturan perangkat, cari menu System atau Software Update, kemudian periksa apakah pembaruan keamanan terbaru sudah tersedia.
Pasang pembaruan dari produsen resmi. Jangan mengandalkan informasi bahwa versi Android tertentu sudah diperbaiki. Pastikan pembaruan benar-benar tersedia untuk model perangkat yang digunakan.
Restart perangkat setelah pembaruan. Jika sistem meminta perangkat dimulai ulang untuk menyelesaikan proses instalasi, lakukan sesuai instruksi.
Hindari memasang aplikasi dari sumber tidak tepercaya. Meskipun kerentanan ini dapat dieksploitasi melalui SMS tanpa interaksi pengguna, menjaga keamanan aplikasi tetap penting untuk mengurangi risiko serangan lain.
Periksa dukungan keamanan perangkat lama. Jika perangkat tidak lagi menerima pembaruan keamanan, pertimbangkan untuk beralih ke perangkat yang masih mendapatkan dukungan resmi.

Kerentanan SMS of Death memperlihatkan bahwa pesan singkat tidak selalu menjadi ancaman hanya karena berisi tautan atau lampiran berbahaya. Dalam kasus ini, format pesan yang dirancang secara khusus sudah cukup untuk mengganggu komponen penting sistem operasi.

Karena serangan tidak memerlukan tindakan pengguna, pembaruan keamanan menjadi langkah perlindungan yang sangat penting. Pengguna perlu memastikan perangkat tetap mendapatkan dukungan dan perbaikan keamanan agar kerentanan serupa tidak mudah dimanfaatkan.

Baca artikel lainnya: