Lỗ hổng SMS of Death khiến hàng triệu điện thoại Android tê liệt
Lỗ hổng bảo mật SMS of Death vừa xuất hiện trên hệ điều hành Android. Lỗi này cho phép kẻ xấu làm tê liệt sóng di động từ xa. Nạn nhân hoàn toàn không nhận được cảnh báo nào. Sự cố được theo dõi dưới mã quốc tế CVE-2026-58882. Kẻ tấn công chỉ cần biết số điện thoại của mục tiêu. Thiết bị có thể bị ngắt cuộc gọi ngay lập tức. Nghiêm trọng hơn, máy có thể bị kẹt trong vòng lặp khởi động liên tục.
Hình thức tấn công SMS of Death không yêu cầu nạn nhân bấm vào đường dẫn lạ. Người dùng cũng không cần mở bất kỳ tập tin nào. Toàn bộ mã độc được xử lý ngầm ở tầng sóng di động. Người dùng máy Android tại Việt Nam cần kiểm tra bản vá ngay.
Lỗ hổng SMS of Death đe dọa những thiết bị Android nào?
Đoạn mã chứa lỗi xuất hiện từ bản Android 12 ra mắt năm 2021. Các bản kế tiếp gồm Android 13, 14, 15, 16 và 17 đều dùng đoạn mã này. Vì vậy, hàng trăm triệu thiết bị trên toàn cầu nằm trong diện ảnh hưởng bởi SMS of Death.
Chuyên gia Mark Blaszczyk đã thử nghiệm thành công mã khai thác trên máy Google Pixel và Samsung Galaxy. Các thiết bị màn hình gập như Pixel 11 Pro Fold đều dùng khung viễn thông chung. Mẫu máy phổ thông như POCO X8s cũng chịu rủi ro tương tự. Nguy cơ không giới hạn ở một thương hiệu riêng lẻ nào.
Máy tính bảng hỗ trợ SIM dữ liệu như Moto Pad 70 Pro bản 5G cũng chịu tác động. Ngược lại, máy tính bảng chỉ dùng kết nối Wi-Fi hoàn toàn an toàn. Dưới đây là bảng tổng hợp mức độ rủi ro theo từng nhóm phiên bản:
| Phiên bản Android | Thời điểm ra mắt | Mức độ rủi ro | Bản vá bảo mật |
|---|---|---|---|
| Android 14, 15, 16, 17 | 2023 – 2026 | Đã có bản vá an toàn | Bản vá tháng 10-2026 |
| Android 12, 13 | 2021 – 2022 | Rủi ro cao | Chưa có bản vá chính thức |
| Android 11 trở về trước | 2020 trở về trước | An toàn | Không chứa đoạn mã lỗi |
Cơ chế tấn công ngầm của lỗ hổng SMS of Death
Điểm nguy hiểm nhất của SMS of Death là tính chất vô hình. Kẻ tấn công không gửi tin nhắn văn bản thông thường. Chúng gửi gói tin dữ liệu WAP Push tới cổng mạng 2948. Hệ thống viễn thông trên máy tự động xử lý gói tin này.
Tin nhắn độc hại không hiển thị trong hộp thư đến. Nạn nhân không thấy chuông reo hay màn hình sáng. Tiến trình viễn thông bị phá vỡ hoàn toàn trong im lặng.
Lỗi tràn số âm trong tiến trình xử lý cuộc gọi
Lỗi nằm tại tệp WapPushOverSms.java trong hàm decodeWapPdu. Khi đọc độ dài tiêu đề gói tin 8 byte, hệ thống coi giá trị là số nguyên có dấu. Kẻ tấn công cố tình tạo tiêu đề để độ dài biến thành số âm. Giá trị này chạm mốc -2.147.483.648.
Hệ điều hành Android cố gắng tạo một mảng bộ nhớ với kích thước âm. Lỗi này kích hoạt ngoại lệ NegativeArraySizeException. Tiến trình com.android.phone bị buộc dừng ngay lập tức. Modem mạng trên máy mất tín hiệu kết nối với trạm phát sóng.
Mọi cuộc đàm thoại đang diễn ra sẽ bị ngắt kết nối lập tức. Ngoài ra, cuộc gọi tới các số khẩn cấp như 113, 114, 115 tại Việt Nam cũng bị chặn. Điều này gây nguy hiểm lớn trong các tình huống khẩn cấp.
Vòng lặp tin nhắn nhà mạng khiến điện thoại sập nguồn
Mức độ nguy hại tăng cao do cơ chế của trạm phát sóng. Khi gửi tin nhắn, trạm BTS chờ tín hiệu xác nhận từ điện thoại. Vì tiến trình viễn thông bị sập, máy không thể gửi lại tín hiệu này.
Hệ thống máy chủ tin nhắn của nhà mạng sẽ tiếp tục gửi lại gói tin. Theo báo cáo kỹ thuật của Mark Blaszczyk, chỉ cần 20 đến 30 tin nhắn gửi liên tục là đủ gây hại. Cơ sở dữ liệu bị lỗi sẽ đẩy thiết bị vào vòng lặp khởi động lại liên tục.
Cách phòng tránh lỗ hổng SMS of Death cho người dùng
Chúng tôi khuyến nghị người dùng thực hiện ngay các bước phòng vệ dưới đây. Việc kiểm tra sớm giúp thiết bị tránh khỏi nguy cơ từ SMS of Death.
Cập nhật bản vá bảo mật Android tháng 10-2026
Người dùng mở mục Cài đặt trên điện thoại. Tiếp theo, bạn chọn Thông tin điện thoại và nhấn vào Thông tin phần mềm. Tại đây, hãy kiểm tra mục Bản vá bảo mật Android. Mức an toàn cần đạt ngày 01-10-2026 hoặc mới hơn.
Nếu máy chưa có bản vá mới, bạn cần vào mục Cập nhật phần mềm để tải về. Google đã đưa bản sửa lỗi vào bản tin bảo mật Android tháng 10-2026. Các hãng như Samsung và Xiaomi đang phát hành gói cập nhật này qua mạng.
Tắt tính năng tự động tải tin nhắn dịch vụ trên máy cũ
Các dòng máy chạy Android 12 hoặc 13 không còn nhận bản vá chính thức. Để hạn chế SMS of Death, người dùng nên mở ứng dụng Tin nhắn. Bạn bấm vào ảnh đại diện góc trên và chọn Cài đặt tin nhắn. Sau đó, bạn tìm mục Nâng cao.
Tại đây, bạn gạt tắt mục Tự động tải MMS và Tin nhắn dịch vụ WAP Push. Thao tác này giúp ngăn hệ thống tự nạp nội dung nhị phân vào bộ nhớ. Chúng tôi cũng đề xuất các nhà mạng như Viettel, VinaPhone và MobiFone chặn gói tin lỗi trên tổng đài SMSC.
Cách khắc phục khi thiết bị kẹt trong vòng lặp khởi động
Khi máy bị kẹt trong vòng lặp khởi động, khôi phục cài đặt gốc có thể không hiệu quả. Ngay khi máy bật lên, nhà mạng lại tiếp tục gửi các tin nhắn đang chờ trong hàng đợi.
Người dùng cần tháo khay thẻ SIM ra khỏi máy ngay lập tức. Hành động này giúp ngắt kết nối mạng và dừng chuỗi sập nguồn. Sau đó, bạn khởi động máy vào Chế độ an toàn. Bạn có thể kết nối với máy tính để dọn dẹp hàng đợi tin nhắn viễn thông. Nếu gặp khó khăn, bạn hãy mang máy tới trung tâm bảo hành chính hãng để kỹ thuật viên hỗ trợ.
Phản ứng từ Google và dòng thời gian xử lý SMS of Death
Quá trình khắc phục lỗ hổng SMS of Death ghi nhận sự đóng góp lớn từ cộng đồng bảo mật. Sự việc cho thấy tầm quan trọng của việc kiểm tra mã nguồn viễn thông.
Vào giữa năm 2026, chuyên gia Mark Blaszczyk phát hiện lỗi và báo cáo cho Google. Nhóm tiếp nhận ban đầu đánh giá sự cố này khó xảy ra trên thực tế. Vì vậy, báo cáo chưa được ưu tiên xử lý ngay.
Đến ngày 29-10-2026, tác giả công bố chi tiết kỹ thuật trên trang web smsofdeath.com. Báo Dân trí và báo chí quốc tế đã nhanh chóng đưa tin cảnh báo. Sau đó, Google lập tức cập nhật bản sửa lỗi vào hệ thống.
Tóm lại
Lỗ hổng SMS of Death nhắc nhở người dùng về tầm quan trọng của việc cập nhật điện thoại. Bạn nên kiểm tra và cài đặt bản vá bảo mật tháng 10-2026 ngay hôm nay. Với thiết bị cũ hơn, việc tắt tự động nhận tin nhắn dịch vụ là giải pháp phòng vệ cần thiết.
Nguồn tham khảo
- Báo cáo nghiên cứu bảo mật: Trang phân tích kỹ thuật của Mark Blaszczyk
- Thông báo vá lỗi từ Google: Bản tin bảo mật Android tháng 10-2026
- Ghi nhận từ báo Dân trí: Lỗ hổng khiến điện thoại Android gặp lỗi nghiêm trọng
- Cảnh báo từ báo Thanh Niên: Hàng triệu người dùng Android bị đe dọa vì tin nhắn tử thần
- Phân tích từ chuyên trang SC World: Thông tin phân tích CVE-2026-58882
- Tài liệu kỹ thuật AOSP: Mã nguồn WapPushOverSms trên Android Open Source Project
