Hàng triệu người dùng Android bị đe dọa vì lỗ hổng ‘tin nhắn tử thần’

Một lỗi bảo mật Android có thể khiến điện thoại mất sóng hoặc khởi động liên tục, ngay cả khi người dùng chưa mở tin nhắn.

Theo Bleepingcomputer, một nhà nghiên cứu bảo mật vừa công bố thông tin về lỗ hổng bảo mật nghiêm trọng trên hệ điều hành Android, được gọi là “SMS of Death” (tạm dịch: “tin nhắn tử thần”) và được theo dõi với mã CVE-2026-58882. Lỗ hổng này cho phép kẻ tấn công có thể làm gián đoạn dịch vụ di động từ xa hoặc thậm chí làm hỏng điện thoại chỉ bằng cách gửi một tin nhắn văn bản được tạo ra đặc biệt.

Đáng lo ngại hơn, lỗ hổng này không yêu cầu nạn nhân phải tương tác, có thể gây ra sự gián đoạn trong các cuộc gọi đang diễn ra, bao gồm cả các cuộc gọi khẩn cấp. Đặc biệt, việc Android xử lý tin nhắn trước khi chúng đến hộp thư SMS khiến người dùng không nhận ra nguyên nhân làm điện thoại của họ bị treo.

Bản vá bảo mật cho SMS of Death chỉ được Google phát hành cho các phiên bản Android 14 đến 17. ẢNH: BLEEPINGCOMPUTER

Nhiều điện thoại Android vẫn đối mặt lỗ hổng

Nhà nghiên cứu Mark Blah cho biết, Google đã phát hành bản vá cho lỗ hổng này trong bản cập nhật bảo mật Android tháng 10.2026, áp dụng cho các phiên bản Android 14 đến 17. Tuy nhiên, lỗ hổng này không được đề cập trong thông báo bảo mật tháng 10 của Google và các thiết bị Android 12 và 13 vẫn dễ bị tổn thương vì chưa nhận được bản vá.

Phân tích kỹ thuật cho thấy lỗi này xuất phát từ việc xác thực không chính xác giá trị độ dài tiêu đề trong hàm WapPushOverSms.decodeWapPdu của Android. Kẻ tấn công có thể khai thác lỗ hổng bằng cách gửi một tin nhắn WAP Push có cấu trúc đặc biệt đến điện thoại mục tiêu. Khi giá trị này được chuyển đổi thành số nguyên 32 bit có dấu mà không kiểm tra giới hạn, nó sẽ gây ra lỗi NegativeArraySizeException, dẫn đến sự cố trong tiến trình com.android.phone, làm gián đoạn kết nối di động và ngắt kết nối các cuộc gọi.

Mark Blah cũng cho biết, cuộc tấn công này có thể gây ra sự cố liên tục khi các nhà mạng cố gắng gửi lại các tin nhắn độc hại hoặc khi Android xử lý các tin nhắn đã được lưu trữ. Trong thử nghiệm, việc gửi 20 tin nhắn độc hại có thể khiến điện thoại bị kẹt trong vòng lặp khởi động lại, buộc người dùng phải thực hiện khôi phục cài đặt gốc để khắc phục.

Giải pháp khắc phục không đơn giản

Một người dùng trên GitHub đã tìm ra cách xóa các thông báo độc hại bằng Android Debug Bridge (ADB), nhưng quá trình này yêu cầu kiến thức kỹ thuật nâng cao và quyền truy cập vào máy tính.

Bản vá của Google, mang tên “Fix remote DoS in decodeWapPdu” đã được phát hành để ngăn chặn sự cố. Bản vá này xóa các tin nhắn độc hại khỏi cơ sở dữ liệu SMS để ngăn chặn sự cố lặp lại.

Người dùng Android được khuyến cáo nên cài đặt các bản cập nhật bảo mật mới nhất để bảo vệ thiết bị của mình, vì tính khả dụng của các bản cập nhật này phụ thuộc vào nhà sản xuất thiết bị và nhà mạng. Sau khi cài đặt cập nhật, người dùng có thể cần phải khởi động lại thiết bị để bản vá được áp dụng.