Android dính lỗi “SMS of Death”, có thể treo máy từ xa

Theo thông tin từ nhà nghiên cứu bảo mật Mark Blaszczyk, lỗ hổng CVE-2026-58882 trong cách Android xử lý WAP Push có thể làm gián đoạn dịch vụ di động chỉ bằng một tin nhắn được chế tạo đặc biệt. Người dùng không cần mở hay tương tác với tin nhắn. Phát hiện được công bố ngày 29/10/2026, kèm bản trình diễn tại smsofdeath.com.

Một tin nhắn có thể làm sập kết nối di động

Lỗi thuộc nhóm từ chối dịch vụ từ xa. Android xử lý WAP Push ở một luồng riêng, không hiển thị chúng trong hộp thư SMS thông thường. Khi nhận nội dung lỗi định dạng, framework điện thoại có thể phát sinh lỗi và làm dừng tiến trình phụ trách kết nối di động.

Hậu quả có thể gồm mất dịch vụ di động, rớt cuộc gọi đang diễn ra và gián đoạn cả cuộc gọi khẩn cấp. Nếu nhà mạng gửi lại tin nhắn lỗi, thiết bị có thể tiếp tục sập. Trong quá trình thử nghiệm, khoảng 20 tin nhắn đã khiến một số máy rơi vào vòng lặp khởi động lại. Nghiên cứu ghi nhận thử nghiệm trên các mẫu Google Pixel và Samsung Galaxy.

Android 12 và 13 vẫn chưa được vá

Blaszczyk cho biết ông đã báo cáo lỗi với Google vào tháng 5/2026. Bản sửa lỗi được ghi nhận trong các bản cập nhật bảo mật tháng 10/2026 cho Android 14 đến 17. Trong khi đó, Android 12 và 13 vẫn chưa được vá theo thông tin hiện có.

Việc khôi phục sau khi máy mắc vòng lặp có thể đòi hỏi khôi phục cài đặt gốc hoặc dùng ADB để xóa tin nhắn gây lỗi. Đây là những thao tác vượt quá khả năng của nhiều người dùng phổ thông. Hiện chưa có vụ tấn công trên diện rộng nào được xác nhận. Tuy vậy, lỗi đáng chú ý vì không cần nạn nhân bấm liên kết hay cài ứng dụng.

Cường Nguyễn nhận định điểm đáng lo nằm ở khả năng làm gián đoạn liên lạc, kể cả cuộc gọi khẩn cấp, chứ không phải đánh cắp dữ liệu. Người dùng nên cài bản cập nhật bảo mật mới nhất mà thiết bị hỗ trợ; riêng chủ máy Android 12 hoặc 13 cần theo dõi thông báo từ nhà sản xuất và nhà mạng.

Điểm cần nhớ

• CVE-2026-58882 khai thác cách Android xử lý WAP Push, không phải tin SMS thông thường trong hộp thư.
• Android 12 và 13 vẫn chưa có bản vá được ghi nhận; Android 14–17 đã nhận sửa lỗi trong cập nhật tháng 10/2026.
• Chưa xác nhận tấn công diện rộng; nếu máy liên tục khởi động lại, việc khắc phục có thể cần hỗ trợ kỹ thuật.

Nguồn tham khảo: Mark Blaszczyk

Tác giả: Cường Nguyễn — Founder AI Ops Solutions | Verified n8n Creator. Kết nối: Facebook · LinkedIn · YouTube · TikTok