The Storm Riders✔
Writer
Lỗ hổng zero-click CVE-2026-58882 khiến hệ thống tự xử lý gói tin lỗi và làm tê liệt tiến trình sóng di động trước khi người dùng kịp thấy tin nhắn. Bản vá đã có trên Android 14 đến 17 từ tháng 10/2026, nhưng Android 12 và 13 hiện chưa nhận được cập nhật.
Một cuộc tấn công zero-click vừa được nhà nghiên cứu bảo mật Mark Blah công bố mã khai thác thực tế (PoC), mang tên “SMS of Death”. Điều đáng ngại nhất ở kỹ thuật này là nạn nhân hoàn toàn bị động: không cần mở hộp thư, không cần nhấp vào bất kỳ liên kết nào, điện thoại vẫn có thể mất sạch sóng di động hoặc rơi thẳng vào vòng lặp khởi động lại.
Do tiến trình này điều khiển trực tiếp toàn bộ chức năng viễn thông, sự cố khiến thiết bị mất kết nối mạng và làm ngắt quãng các cuộc gọi đang diễn ra, bao gồm cả cuộc gọi khẩn cấp. Nguy hiểm hơn, Android tự động xử lý tin nhắn ngầm trước khi nó kịp hiển thị trong hộp thư SMS thông thường, khiến người dùng không hề hay biết nguyên nhân thiết bị gặp trục trặc.
Trong bài thử nghiệm của Mark Blah, chỉ với 20 tin nhắn độc hại, một thiết bị chạy Android 12 đã liên tục khởi động lại vào chế độ khôi phục (Recovery Mode) sau mỗi khoảng 90 giây. Chiếc máy này chỉ có thể hoạt động trở lại sau khi thực hiện khôi phục cài đặt gốc.
Tình trạng sập hệ thống có thể kéo dài liên tục do nhà mạng tự động gửi lại tin nhắn, hoặc chính Android tiếp tục xử lý những tin đã lưu trữ trong máy. Một cộng tác viên GitHub tên Sakis phát hiện giải pháp xóa tin nhắn gây lỗi qua Android Debug Bridge (ADB), nhưng thao tác này đòi hỏi máy tính cùng kỹ năng kỹ thuật nhất định. Đáng chú ý, bản khai thác PoC của Blah cho phép gửi tin độc hại từ một máy Android khác mà không cần phần mềm tùy chỉnh phức tạp.
Dẫu vậy, bản tin bảo mật tháng 10 của Google không hề liệt kê mã CVE-2026-58882, dù mã nguồn sửa lỗi đã xuất hiện trong thành phần xử lý điện thoại của Android. Bản vá hiện chỉ hỗ trợ các phiên bản từ Android 14 đến Android 17, đồng nghĩa người dùng Android 12 và 13 vẫn chưa có bản sửa lỗi chính thức hay phương án khắc phục được công bố.
Đối với người dùng thiết bị Android 14 trở lên, thời điểm nhận bản cập nhật tháng 10/2026 hoặc mới hơn sẽ phụ thuộc vào từng nhà sản xuất và nhà mạng. Người dùng được khuyến cáo chủ động kiểm tra phần cập nhật hệ thống để bảo vệ thiết bị trước nguy cơ bị gián đoạn liên lạc.
Một cuộc tấn công zero-click vừa được nhà nghiên cứu bảo mật Mark Blah công bố mã khai thác thực tế (PoC), mang tên “SMS of Death”. Điều đáng ngại nhất ở kỹ thuật này là nạn nhân hoàn toàn bị động: không cần mở hộp thư, không cần nhấp vào bất kỳ liên kết nào, điện thoại vẫn có thể mất sạch sóng di động hoặc rơi thẳng vào vòng lặp khởi động lại.
Cơ chế lỗi: Tính sai bộ nhớ từ một tiêu đề tin nhắn
Theo phân tích của ông Blah, sự cố bắt nguồn từ việc Android không kiểm tra chính xác độ dài phần tiêu đề của tin nhắn WAP Push. Khi nhận gói tin chứa dữ liệu bất thường, hệ thống hiểu sai kích thước bộ nhớ cần cấp phát, dẫn đến lỗi nghiêm trọng và làm sập tiến trình quản lý kết nối điện thoại.Do tiến trình này điều khiển trực tiếp toàn bộ chức năng viễn thông, sự cố khiến thiết bị mất kết nối mạng và làm ngắt quãng các cuộc gọi đang diễn ra, bao gồm cả cuộc gọi khẩn cấp. Nguy hiểm hơn, Android tự động xử lý tin nhắn ngầm trước khi nó kịp hiển thị trong hộp thư SMS thông thường, khiến người dùng không hề hay biết nguyên nhân thiết bị gặp trục trặc.
Trong bài thử nghiệm của Mark Blah, chỉ với 20 tin nhắn độc hại, một thiết bị chạy Android 12 đã liên tục khởi động lại vào chế độ khôi phục (Recovery Mode) sau mỗi khoảng 90 giây. Chiếc máy này chỉ có thể hoạt động trở lại sau khi thực hiện khôi phục cài đặt gốc.
Tình trạng sập hệ thống có thể kéo dài liên tục do nhà mạng tự động gửi lại tin nhắn, hoặc chính Android tiếp tục xử lý những tin đã lưu trữ trong máy. Một cộng tác viên GitHub tên Sakis phát hiện giải pháp xóa tin nhắn gây lỗi qua Android Debug Bridge (ADB), nhưng thao tác này đòi hỏi máy tính cùng kỹ năng kỹ thuật nhất định. Đáng chú ý, bản khai thác PoC của Blah cho phép gửi tin độc hại từ một máy Android khác mà không cần phần mềm tùy chỉnh phức tạp.
Android 12, 13 nằm trong "vùng nguy hiểm"
Google đã khắc phục lỗ hổng này thông qua bản sửa lỗi mang tên “Fix remote DoS in decodeWapPdu” trong bản cập nhật bảo mật Android tháng 10/2026. Cơ chế của bản vá là xử lý các ngoại lệ phát sinh từ dữ liệu bất thường và xóa tin nhắn độc hại khỏi cơ sở dữ liệu SMS để ngăn lỗi lặp lại.Dẫu vậy, bản tin bảo mật tháng 10 của Google không hề liệt kê mã CVE-2026-58882, dù mã nguồn sửa lỗi đã xuất hiện trong thành phần xử lý điện thoại của Android. Bản vá hiện chỉ hỗ trợ các phiên bản từ Android 14 đến Android 17, đồng nghĩa người dùng Android 12 và 13 vẫn chưa có bản sửa lỗi chính thức hay phương án khắc phục được công bố.
Đối với người dùng thiết bị Android 14 trở lên, thời điểm nhận bản cập nhật tháng 10/2026 hoặc mới hơn sẽ phụ thuộc vào từng nhà sản xuất và nhà mạng. Người dùng được khuyến cáo chủ động kiểm tra phần cập nhật hệ thống để bảo vệ thiết bị trước nguy cơ bị gián đoạn liên lạc.
