SMS of Death Android bisa matikan layanan ponsel tanpa disentuh, tambalan sudah rilis

JAKARTA, BIT NUSANTARA — Sebuah pesan teks yang tidak pernah muncul di kotak masuk ternyata dapat melumpuhkan layanan telepon ponsel Android. Kerentanan yang dijuluki SMS of Death dan dilacak sebagai CVE-2026-58882 itu kini ramai dibahas setelah kode uji cobanya terbuka untuk umum.

Peneliti keamanan Mark Blaszczyk memublikasikan temuannya pada 29 Oktober, lengkap dengan demonstrasi yang berhasil direproduksi pada ponsel Google Pixel dan Samsung Galaxy. Ia sebenarnya sudah melaporkan celah ini kepada Google pada Mei.

Jenis serangannya adalah denial-of-service tanpa klik. Penyerang cukup mengirim pesan teks yang dibuat khusus untuk mengganggu layanan seluler atau membuat ponsel crash. Pemilik ponsel tidak perlu membuka, mengetuk, atau membalas apa pun, dan serangan ini juga bukan phishing.

Blaszczyk menggambarkan sifat serangan itu dengan lugas. "Satu pesan WAP Push SMS yang dibentuk keliru membuat com.android.phone di Android crash, memutus panggilan aktif (termasuk panggilan darurat), tanpa interaksi apa pun dari korban," kata Mark Blaszczyk, peneliti keamanan.

Ia menambahkan bahwa korban sama sekali tidak diberi tanda. "Korban tidak melakukan apa pun. Tidak ada ketukan, tidak ada pembukaan, tidak ada notifikasi," kata Mark Blaszczyk.

**Cara kerja: dari delapan byte menjadi crash**

Pemicunya adalah pesan jenis WAP Push, yaitu format pesan yang dikirim lewat jalur SMS. Menurut rincian teknis, penyerang mengirim pesan WAP Push berukuran delapan byte yang sengaja dirusak, dikemas sebagai data SMS dan ditujukan ke port 2948. Framework telephony Android tidak sanggup memproses pesan semacam itu dengan benar.

Dari delapan byte tersebut, lima byte mewakili satu angka, yakni panjang header. Angka itulah yang menjadi biang masalah. Kode penanganannya, fungsi WapPushOverSms.decodeWapPdu, tidak memeriksa nilai panjang header dengan semestinya.

Nilai yang tampak sah, yaitu 2.147.483.648 atau 0x80000000, diubah dari tipe long ke int 32-bit tanpa pemeriksaan rentang. Hasil konversinya meluap menjadi angka negatif, -2.147.483.648.

Ketika Android kemudian mencoba mengalokasikan memori berdasarkan angka negatif itu, muncul NegativeArraySizeException. Galat fatal tersebut membuat proses com.android.phone crash.

Pesan semacam ini tidak berhenti di kotak masuk. Android memprosesnya lebih dulu di latar belakang sebelum sampai ke aplikasi pesan, sehingga kegagalan terjadi tanpa jejak yang terlihat oleh korban.

**Dampak bagi pengguna**

Akibat paling langsung adalah gangguan komunikasi. Panggilan telepon yang sedang berlangsung dapat terputus dan perangkat untuk sementara kehilangan layanan seluler. Panggilan darurat pun tidak dikecualikan.

Dampaknya dapat berlipat bila pesan dikirim berulang. Penyerang berpotensi menjebak ponsel dalam siklus reboot, yang pada akhirnya dapat memaksa pengguna melakukan factory reset. Jika perangkat menerima banyak pesan seperti itu, ponsel dapat menjadi tidak bisa digunakan.

Pemulihan perangkat yang sudah telanjur terdampak disebut sangat sulit dan memerlukan bantuan teknis.

**Siapa yang terdampak**

Sejauh ini masalah tersebut terbukti pada ponsel Google Pixel dan Samsung Galaxy, tetapi semua perangkat dengan Android 12 atau lebih baru dinyatakan rentan. Merek bukan penentu utama. Yang menentukan adalah versi Android dan apakah ponsel sudah menerima patch keamanan yang diperlukan.

Rentang versi yang rentan dilaporkan berbeda-beda. Rincian lain menyatakan perangkat Android 12 dan 13 yang lebih tua tetap rentan karena tidak menerima perbaikan.

**Kronologi perbaikan**

Linimasa penanganan celah ini cukup panjang. Blaszczyk mengungkapkannya secara bertanggung jawab pada Mei 2026, dan Google berkomitmen memperbaikinya pada 15 Juni lalu mendorong patch ke Android Open Source Project (AOSP).

Google sempat membantah bahwa laporan itu merupakan masalah keamanan ketika pertama kali disampaikan pada Mei. Tim teknik Android kemudian membuat solusi yang masuk ke patch keamanan Oktober untuk perangkat Android 14 atau lebih baru.

Menurut Blaszczyk, perbaikan tersedia untuk Android 14 hingga 17 lewat pembaruan keamanan Oktober 2026. Cara kerja tambalannya cukup sederhana: sistem mengenali salah satu dari 20 pesan berpotensi berbahaya, lalu menghapusnya alih-alih memprosesnya.

Ada satu kejanggalan administratif. Celah ini tidak disebut dalam buletin keamanan Oktober milik Google. GrapheneOS menyatakan celah tersebut akan dimasukkan dalam buletin keamanan November mendatang.

**Langkah yang dapat ditempuh pengguna**

Karena perbaikan sudah dirilis untuk Android 14 hingga 17, pengguna di rentang versi itu pada dasarnya perlu memastikan ponselnya sudah menerima pembaruan keamanan Oktober 2026. Hal ini penting karena Google telah mengembangkan patch, tetapi ketersediaannya di seluruh perangkat belum merata.

Bagi pemilik ponsel dengan Android 12 dan 13, situasinya lebih sulit. Perangkat tersebut tetap rentan karena tidak mendapat perbaikan. Pada ponsel yang tidak lagi menerima pembaruan, kerentanan ini dapat bertahan tanpa batas waktu.

Serangan semacam ini tidak meminta pengguna melakukan apa pun, sehingga kewaspadaan terhadap pesan mencurigakan tidak banyak membantu. Perlindungan yang tersedia saat ini bergantung pada pembaruan perangkat lunak dari pabrikan dan Google.