פרצת SMS באנדרואיד: הודעה של 8 בייטים עלולה לנתק שיחות

פרצת SMS באנדרואיד שנחשפה בסוף אוקטובר מאפשרת לתוקף לשלוח לטלפון הודעה מיוחדת שמפילה את שירותי הסלולר, מנתקת שיחות פעילות ואפילו שיחה למוקד חירום. הכי מטריד: אתם לא צריכים לפתוח שום הודעה או ללחוץ על קישור, וההודעה בכלל לא מופיעה בתיבת ההודעות.

החוקר שגילה את הבעיה כינה אותה "SMS of Death", והיא קיבלה את המזהה CVE-2026-58882 עם דירוג חומרה קריטי. מה שהופך את הסיפור לדחוף יותר הוא שהחוקר פרסם כבר קוד הדגמה פומבי שמראה איך לנצל אותה.

איך עובדת פרצת SMS באנדרואיד

מדובר בהודעה של 8 בייטים בלבד מסוג WAP Push. זה סוג הודעה טכנית ישנה שחברות סלולר משתמשות בה כדי לשלוח הגדרות למכשיר, ולכן הטלפון מעבד אותה ברקע בלי להציג לכם כלום.

חשוב להבהיר: לא מדובר בהודעת SMS רגילה שאפשר לשלוח מאפליקציית ההודעות. כדי לנצל את הפרצה צריך הודעת Data SMS בפורמט מיוחד, שמכוונת ל"פורט" ייעודי במכשיר, כלומר לכתובת פנימית שמיועדת להודעות טכניות.

בתוך ההודעה יש מספר שמתאר את אורך הכותרת. בגלל כשל בבדיקה של המספר הזה, אנדרואיד מפרש אותו כמספר שלילי ומנסה לשריין בזיכרון מקום בגודל בלתי אפשרי. התוצאה: קריסה של התהליך שאחראי על השיחות והסלולר בטלפון.

קריסה אחת נמשכת שניה או שתיים, אבל זה מספיק כדי לנתק שיחה. המצב עלול להחמיר כשהרשת מנסה למסור את ההודעה שוב, או כשהטלפון מנסה לעבד הודעות זדוניות שכבר נשמרו בו. לפי הדיווח ב-BleepingComputer, בבדיקות החוקר 20 הודעות כאלה גרמו לטלפון להיכנס ללולאת אתחולים, ובמכשיר אחד עם אנדרואיד 12 לא הייתה ברירה אלא איפוס להגדרות יצרן.

מה זה אומר בפועל

חשוב להבין את הגבולות. זו לא פרצה שגונבת מידע, תמונות או סיסמאות. בעולם האבטחה קוראים לזה מתקפת מניעת שירות (DoS), כלומר מתקפה שמטרתה להשבית את המכשיר ולא להשתלט עליו. בניגוד להודעת פישינג שדורשת מכם ללחוץ על משהו, כאן מדובר במתקפה "בלי קליק" (Zero-Click), שלא דורשת שום פעולה מצדכם.

עד עכשיו אין דיווח מאומת על ניצול של הפרצה נגד משתמשים, אבל מרגע שהקוד פומבי, החשש הוא שמישהו ישתמש בו.

מי חשוף לפרצת SMS באנדרואיד ומי מוגן

ב-2 בנובמבר גוגל הכניסה את הפרצה רשמית לעלון האבטחה של אנדרואיד לנובמבר, בדירוג קריטי, עם תיקון לאנדרואיד 14 עד 17. לפי החוקר, חלק מהתיקון כבר נכנס לקוד של עדכון אוקטובר, אבל הוא לא הופיע ברשימה הרשמית של אותו חודש. אנדרואיד 12 ו-13 לא מופיעים ברשימת הגרסאות שקיבלו תיקון.

התיקון של גוגל עושה שני דברים: הטלפון כבר לא קורס כשהוא מקבל הודעה פגומה, וההודעה נמחקת כדי שלא תפיל אותו שוב.

איך בודקים אם הטלפון שלכם מעודכן

הדרך היחידה להתגונן מפני פרצת SMS באנדרואיד היא עדכון. אל תסתמכו על "אני חושב שעדכנתי". בדיקה לוקחת חצי דקה:

• בסמסונג: הגדרות > אודות הטלפון > מידע תוכנה. חפשו את "רמת תיקון האבטחה של אנדרואיד".
• בפיקסל ובמכשירים אחרים: הגדרות > אודות הטלפון > גרסת אנדרואיד, או חפשו בהגדרות "עדכון אבטחה".

התאריך שאתם מחפשים הוא 1 בנובמבר 2026 (2026-11-01) או חדש יותר. זה התאריך שגוגל קבעה רשמית לתיקון. אם מופיע תאריך מוקדם יותר, היכנסו לעדכון תוכנה ובדקו אם יש עדכון שמחכה. לפעמים העדכון כבר ירד ומחכה רק לאתחול. קחו בחשבון שמועד ההגעה של העדכון תלוי ביצרנית ובדגם, ולכן ייתכן שבחלק מהמכשירים הוא יגיע רק בעוד כמה שבועות.

שווה לבדוק גם טלפונים ישנים במשפחה, כמו טלפון של ילד או של הורה, שלפעמים נשארים על גרסה ישנה של אנדרואיד. במכשירים עם אנדרואיד 12 או 13 כדאי לבדוק אם היצרנית מספקת עדכון משלה. אם הטלפון לא מקבל יותר עדכוני אבטחה בכלל, זה סימן שהגיע הזמן לשקול החלפה.