Φανταστείτε να έχετε καλέσει την πυροσβεστική ή το ασθενοφόρο και ξαφνικά το κινητό σας να διακόπτει την κλήση χωρίς κανέναν προφανή λόγο και χωρίς την παραμικρή εξήγηση. Κάπου στο παρασκήνιο, ένα αόρατο μήνυμα γονατίζει ολόκληρη την υπηρεσία κλήσεων του τηλεφώνου. Αυτό είναι ένα από τα πιο τρομακτικά σενάρια πίσω από το SMS of Death, μια νέα κρίσιμη ευπάθεια του Android που επιτρέπει σε εισβολείς να εξουδετερώνουν τη δυνατότητα κλήσεων σε οποιαδήποτε συσκευή.
Το ελάττωμα ανακάλυψε ο ερευνητής ασφαλείας Mark Blaszczyk και αφορά ένα ειδικά διαμορφωμένο μήνυμα κειμένου που το λειτουργικό σύστημα της Google αδυνατεί να επεξεργαστεί. Ο εισβολέας αρκεί να στείλει μόνο ένα τέτοιο SMS για να ξεκινήσουν τα προβλήματα, χωρίς να απαιτείται η παραμικρή ενέργεια από το θύμα (zero-click exploit).
Πώς λειτουργεί το «SMS of Death» και γιατί προκαλεί bootloops
Σε αντίθεση με τα κανονικά SMS, το κακόβουλο αυτό μήνυμα δεν εμφανίζεται ποτέ στα εισερχόμενα και δεν πετάει καμία ειδοποίηση στην οθόνη. Παρόλα αυτά, διακόπτει άμεσα τη λειτουργία του υποσυστήματος τηλεφωνίας (telephony framework) και ρίχνει αυτόματα οποιαδήποτε κλήση βρίσκεται σε εξέλιξη εκείνη τη στιγμή, συμπεριλαμβανομένων και των κλήσεων έκτακτης ανάγκης (112 / 911).
Η διακοπή της κλήσης όμως είναι το λιγότερο. Το Android προσπαθεί επίμονα να επεξεργαστεί το προβληματικό μήνυμα και κρασάρει διαρκώς. Σύμφωνα με τον Blaszczyk, μια ριπή 20 τέτοιων μηνυμάτων μπορεί να γονατίσει ακόμα και την πιο ισχυρή ναυαρχίδα, οδηγώντας τη συσκευή σε ασταμάτητα bootloops (συνεχείς επανεκκινήσεις).
Ακόμα χειρότερα, ούτε η επαναφορά εργοστασιακών ρυθμίσεων εγγυάται τη σωτηρία, καθώς μόλις ανοίξει το κινητό, ο πάροχος θα ξαναστείλει τα εκκρεμή μηνύματα προκαλώντας νέο κρασάρισμα! Η μόνη ανάκτηση χωρίς να σβηστούν τα δεδομένα απαιτεί σύνδεση σε υπολογιστή μέσω ADB και χειροκίνητη διαγραφή των μηνυμάτων από τη βάση δεδομένων — μια διαδικασία απαγορευτική για τον μέσο χρήστη εν έτει 2026.
Η επίθεση δοκιμάστηκε με επιτυχία σε συσκευές Google Pixel και Samsung Galaxy, με τον ευάλωτο κώδικα να υπάρχει στο λειτουργικό ήδη από το Android 12. Και ενώ οι νεότερες συσκευές περιμένουν το σχετικό update, εκατομμύρια παλαιότερα κινητά που δεν υποστηρίζονται πλέον με ενημερώσεις ασφαλείας θα παραμείνουν εκτεθειμένα για πάντα.
Η Google απέρριψε τον ερευνητή, αλλά έφτιαξε στα κρυφά τη διόρθωση!
Εδώ είναι που η υπόθεση αποκτά τεράστιο ενδιαφέρον. Ο Blaszczyk ενημέρωσε υπεύθυνα τη Google από τις 5 Μαΐου. Παρόλα αυτά, η εταιρεία απέρριψε επανειλημμένα τις αναφορές του, ισχυριζόμενη πως «δεν πρόκειται για ζήτημα ασφαλείας». Βλέποντας την αδιαφορία, ο ερευνητής αποφάσισε να δημοσιοποιήσει την ευπάθεια στις 29 Οκτωβρίου, συνοδεύοντάς την με λειτουργική επίδειξη (PoC).
Κι όμως, όπως αποδεικνύουν τα επίσημα αρχεία κώδικα του Android, οι μηχανικοί της Google είχαν αναπτύξει σιωπηρά τη διόρθωση από τις 15 Ιουνίου! Το λογισμικό τροποποιήθηκε ώστε να αντιμετωπίζει το κακόβουλο μήνυμα ως απλό σφάλμα και να το διαγράφει προτού ρίξει το modem. Μάλιστα, η ομάδα του GrapheneOS επιβεβαίωσε στο X ότι η Google είχε διανείμει την επιδιόρθωση στους συνεργάτες της από τον Ιούλιο, μήνες πριν από τη δημόσια αποκάλυψη.
Η ευπάθεια παρακολουθείται πλέον επίσημα ως CVE-2026-58882 με αξιολόγηση κρίσιμης σοβαρότητας και αναμένεται να ενσωματωθεί στο επίσημο Δελτίο Ασφαλείας Android του Νοεμβρίου.
Με τη ματιά του Techmaniacs
Η συμπεριφορά της Google στη συγκεκριμένη υπόθεση αποτελεί μνημείο υποκρισίας. Πώς γίνεται ένα bug που ρίχνει κλήσεις έκτακτης ανάγκης και αχρηστεύει τηλεφωνικές συσκευές με 20 αόρατα SMS να «μην αποτελεί ζήτημα ασφαλείας», αλλά ταυτόχρονα οι μηχανικοί σου να γράφουν κώδικα για να το διορθώσουν στα κρυφά;
Η απάντηση δυστυχώς κρύβεται στα χρήματα. Η Google διαθέτει το πρόγραμμα Bug Hunters για να αμείβει τους ερευνητές που βρίσκουν κενά ασφαλείας. Βαφτίζοντας όμως μια κρίσιμη ευπάθεια ως «απλό bug λειτουργικότητας», η εταιρεία γλιτώνει την αμοιβή του ανθρώπου που της βρήκε το πρόβλημα — ποσά που για έναν κολοσσό του μεγέθους της ισοδυναμούν με ψίχουλα. Αν δεν υπήρχε η δημόσια πίεση του Blaszczyk, κανείς δεν ξέρει πότε θα έφτανε το patch στα κινητά των χρηστών. Του αξίζουν πολλά συγχαρητήρια για την επιμονή του.
