Teknoloji dünyasında "SMS of Death" (Ölüm SMS'i) olarak adlandırılan bu açık, herhangi bir bağlantıya tıklamaya veya mesaja dokunmaya gerek kalmadan (Zero-Click), arka planda cihazların hücresel servislerini çökertebiliyor ve telefonu tamamen kullanılmaz hale getirebiliyor.
Zafiyet, Android işletim sisteminin özel WAP Push SMS iletilerini işleyen telefon altyapısındaki bir kodlama hatasından kaynaklanıyor: Kullanıcının herhangi bir phishing bağlantısına tıklaması veya gelen mesajı açması gerekmiyor. Mesaj, gelen kutusunda görünmeden doğrudan arka planda sistem tarafından işlenmeye çalışılıyor.
Kötü niyetli WAP Push mesajı alındığı anda telefon servisi çöküyor. Bu durum aktif telefon aramalarının (acil servis aramaları dahil) anında kesilmesine ve 1-2 saniyelik hücresel servis kaybına yol açıyor. Operatörlerin iletilemeyen mesajları tekrar gönderme mekanizması nedeniyle, tek bir mesaj dahi cihazda sürekli çökmelere yol açabiliyor. Yaklaşık 20 adet bu tarz mesaj gönderildiğinde, cihaz açılış döngüsüne (bootloop) girebiliyor veya sistem tamamen kilitlenerek kullanılamaz hale geliyor.
Cihaz kilitlendiğinde fabrika ayarlarına sıfırlamak dahi operatör mesajı tekrar ilettiği için her zaman çözüm olmuyor. Kurtarma işlemi için cihazı bilgisayara bağlayıp ADB (Android Debug Bridge) komutlarıyla kuyruktaki mesajları manuel temizlemek gerekiyor.
Yapılan testlerde güvenlik açığının Android 12 ile Android 17 arasındaki tüm sürümlerde mevcut olduğu, Google Pixel ve Samsung Galaxy (A serisi dahil) cihazlarda %100 başarıyla tetiklendiği doğrulandı.
Android 14, 15, 16 ve 17 Sürümleri: Google, Ekim 2026 güvenlik yaması ile bu zafiyeti düzelten yamayı yayınladı. Sistem artık zararlı mesajı işlemeye çalışmak yerine anında tespit edip imha ediyor.
Android 12 ve Android 13 Sürümleri: Resmi güvenlik güncelleme desteği sona eren veya bu güncellemeyi almayan eski modeller maalesef korumasız durumda kalmaya devam ediyor.
