Hàng triệu người dùng Android bị đe dọa vì lỗ hổng 'tin nhắn tử thần'

Nguồn ảnh: Thanh Niên

Một lỗi bảo mật Android có thể khiến điện thoại mất sóng hoặc khởi động liên tục, ngay cả khi người dùng chưa mở tin nhắn.

Theo Bleepingcomputer, một nhà nghiên cứu bảo mật vừa công bố thông tin về lỗ hổng bảo mật nghiêm trọng trên hệ điều hành Android, được gọi là "SMS of Death" (tạm dịch: "tin nhắn tử thần") và được theo dõi với mã CVE-2026-58882. Lỗ hổng này cho phép kẻ tấn công có thể làm gián đoạn dịch vụ di động từ xa hoặc thậm chí làm hỏng điện thoại chỉ bằng cách gửi một tin nhắn văn bản được tạo ra đặc biệt.

Đáng lo ngại hơn, lỗ hổng này không yêu cầu nạn nhân phải tương tác, có thể gây ra sự gián đoạn trong các cuộc gọi đang diễn ra, bao gồm cả các cuộc gọi khẩn cấp. Đặc biệt, việc Android xử lý tin nhắn trước khi chúng đến hộp thư SMS khiến người dùng không nhận ra nguyên nhân làm điện thoại của họ bị treo.

Nhiều điện thoại Android vẫn đối mặt lỗ hổng

Nhà nghiên cứu Mark Blah cho biết, Google đã phát hành bản vá cho lỗ hổng này trong bản cập nhật bảo mật Android tháng 10.2026, áp dụng cho các phiên bản Android 14 đến 17. Tuy nhiên, lỗ hổng này không được đề cập trong thông báo bảo mật tháng 10 của Google và các thiết bị Android 12 và 13 vẫn dễ bị tổn thương vì chưa nhận được bản vá.

Phân tích kỹ thuật cho thấy lỗi này xuất phát từ việc xác thực không chính xác giá trị độ dài tiêu đề trong hàm WapPushOverSms.decodeWapPdu của Android. Kẻ tấn công có thể khai thác lỗ hổng bằng cách gửi một tin nhắn WAP Push có cấu trúc đặc biệt đến điện thoại mục tiêu. Khi giá trị này được chuyển đổi thành số nguyên 32 bit có dấu mà không kiểm tra giới hạn, nó sẽ gây ra lỗi NegativeArraySizeException, dẫn đến sự cố trong tiến trình com.android.phone, làm gián đoạn kết nối di động và ngắt kết nối các cuộc gọi.

Mark Blah cũng cho biết, cuộc tấn công này có thể gây ra sự cố liên tục khi các nhà mạng cố gắng gửi lại các tin nhắn độc hại hoặc khi Android xử lý các tin nhắn đã được lưu trữ. Trong thử nghiệm, việc gửi 20 tin nhắn độc hại có thể khiến điện thoại bị kẹt trong vòng lặp khởi động lại, buộc người dùng phải thực hiện khôi phục cài đặt gốc để khắc phục.

Giải pháp khắc phục không đơn giản

Một người dùng trên GitHub đã tìm ra cách xóa các thông báo độc hại bằng Android Debug Bridge (ADB), nhưng quá trình này yêu cầu kiến thức kỹ thuật nâng cao và quyền truy cập vào máy tính.

Bản vá của Google, mang tên "Fix remote DoS in decodeWapPdu" đã được phát hành để ngăn chặn sự cố. Bản vá này xóa các tin nhắn độc hại khỏi cơ sở dữ liệu SMS để ngăn chặn sự cố lặp lại.

Người dùng Android được khuyến cáo nên cài đặt các bản cập nhật bảo mật mới nhất để bảo vệ thiết bị của mình, vì tính khả dụng của các bản cập nhật này phụ thuộc vào nhà sản xuất thiết bị và nhà mạng. Sau khi cài đặt cập nhật, người dùng có thể cần phải khởi động lại thiết bị để bản vá được áp dụng.

Một lỗ hổng bảo mật nghiêm trọng mang mã CVE-2026-58882 vừa được nhà nghiên cứu Mark Blah công bố trên Bleepingcomputer, đe dọa trực tiếp đến hàng triệu thiết bị Android. Được định danh là "SMS of Death", khiếm khuyết này cho phép tin tặc làm tê liệt dịch vụ viễn thông từ xa hoặc khiến máy sập nguồn chỉ bằng một tin nhắn văn bản cấu trúc đặc thù. Nguy hiểm hơn, cuộc tấn công diễn ra tự động ở tầng hệ thống mà không đòi hỏi bất kỳ tương tác nào từ nạn nhân. Về mặt kỹ thuật, lỗi phát sinh do khâu xác thực sai độ dài tiêu đề trong hàm WapPushOverSms.decodeWapPdu, kích hoạt ngoại lệ NegativeArraySizeException khi chuyển đổi sang số nguyên 32 bit có dấu. Sự cố lập tức đánh sập tiến trình com.android.phone, gây đứt gãy kết nối mạng và ngắt quãng các cuộc gọi khẩn cấp đang thực hiện. Thử nghiệm thực tế ghi nhận 20 tin nhắn độc hại gửi dồn dập có thể đẩy thiết bị vào vòng lặp khởi động vô tận, buộc người dùng phải khôi phục cài đặt gốc để cứu dữ liệu. Google đã âm thầm tích hợp bản vá mang tên Fix remote DoS in decodeWapPdu vào bản cập nhật bảo mật tháng 10 năm 2026 nhằm xóa các chuỗi dữ liệu độc hại khỏi cơ sở dữ liệu SMS. Dù vậy, gói sửa lỗi này hiện mới áp dụng cho các phiên bản từ Android 14 đến Android 17, khiến người dùng Android 12 và Android 13 tiếp tục đối mặt rủi ro cao. Các chuyên gia khuyến cáo người dùng chủ động kiểm tra, cài đặt bản cập nhật hệ thống mới nhất và khởi động lại thiết bị ngay khi nhà sản xuất phát hành.