Một tin nhắn có thể làm sập điện thoại Android; Android 12 và 13 sẽ không được vá lỗi

Một nhà nghiên cứu đã công bố mã khai thác hoạt động được cho một lỗ hổng trên Android, cho phép bất kỳ ai biết số điện thoại của bạn làm sập máy chỉ bằng một tin nhắn. Được đặt biệt danh là “SMS Tử thần”, tin nhắn này không bao giờ xuất hiện trong hộp thư đến và cũng không cần người nhận chạm vào. Nó làm tê liệt thành phần Android phụ trách cuộc gọi và sóng di động, khiến mọi cuộc gọi đang diễn ra bị ngắt, kể cả cuộc gọi đến dịch vụ khẩn cấp. Google đã khắc phục lỗi trên các phiên bản Android hiện hành, nhưng những điện thoại đời cũ đã ngừng nhận bản cập nhật bảo mật vẫn sẽ gặp rủi ro.

Với phần lớn người dùng, câu hỏi rất đơn giản: điện thoại của bạn đã cài bản cập nhật bảo mật mới nhất chưa? Lỗ hổng nằm trong mã điện thoại cốt lõi của Android, thành phần được mọi nhà sản xuất sử dụng, nên không giới hạn ở một thương hiệu cụ thể. Nhà nghiên cứu, người đăng bài dưới tên Mark B, cho biết lỗi khiến máy sập tái diễn mỗi lần thử trên Google Pixel và một số điện thoại Samsung Galaxy, trong đó có cả dòng A giá thấp hơn, chưa được cập nhật bản vá.

Cuộc tấn công khai thác WAP Push, một định dạng tin nhắn cũ mà các nhà mạng dùng để gửi cài đặt đến điện thoại trong nền. Một tin nhắn bị tạo sai định dạng khiến Android tìm cách dành ra một lượng bộ nhớ âm, làm tiến trình quản lý cuộc gọi và sóng di động bị sập. Mỗi tin nhắn khiến nạn nhân mất dịch vụ trong một hoặc hai giây. Việc gửi lặp lại mới là điều gây thiệt hại thực sự. Nhà mạng liên tục gửi lại những tin nhắn mà điện thoại chưa xác nhận đã nhận, và trong các thử nghiệm của nhà nghiên cứu, chỉ một tin nhắn cũng gây ra tình trạng mất sóng chập chờn kéo dài đến một tuần. Khoảng 20 tin nhắn khiến điện thoại không thể sử dụng.

Các tin nhắn độc hại còn nằm trong hàng đợi và được xử lý lại mỗi khi máy khởi động. Trong thử nghiệm, một điện thoại Android 12 khởi động lại vào chế độ khôi phục khoảng 90 giây một lần; chủ máy thông thường chỉ có thể thoát khỏi vòng lặp này bằng cách khôi phục cài đặt gốc, thao tác xóa sạch thiết bị. Một cộng tác viên của dự án có tên Sakis đã tìm ra cách xóa riêng những tin nhắn gây lỗi, nhưng cách này đòi hỏi phải có máy tính, bộ công cụ dành cho nhà phát triển Android và thao tác thật nhanh trong khoảng thời gian ngắn sau mỗi lần khởi động lại.

Nhà nghiên cứu phân tích lỗ hổng trong bối cảnh số khẩn cấp Triple Zero của Australia, đồng thời chỉ ra một tác dụng phụ bất thường tại đây. Quy định của Australia yêu cầu các nhà mạng xác định những thiết bị cầm tay không thể gọi dịch vụ khẩn cấp và cuối cùng ngắt kết nối chúng; Telstra cho biết họ sẽ chặn những điện thoại như vậy nếu tình trạng không thay đổi trong vòng 28 ngày. Theo cách lý giải của nhà nghiên cứu, kẻ tấn công có thể khiến điện thoại không gọi được số khẩn cấp theo ý muốn, từ đó làm chính thiết bị của nạn nhân bị chặn khỏi mạng.

Tuy vậy, mức độ đáng lo ngại cũng có giới hạn. Đây là một cuộc tấn công từ chối dịch vụ, chứ không phải đột nhập: tin nhắn không thể đọc dữ liệu, cài đặt bất cứ thứ gì hay chiếm quyền điều khiển điện thoại. Kẻ tấn công cần biết số điện thoại của bạn và có cách gửi tin nhắn dữ liệu thô; công cụ được công bố gửi tin nhắn từ một điện thoại Android khác có lắp SIM, để lại dấu vết tại nhà mạng. Cho đến nay, chưa có báo cáo công khai nào cho biết lỗ hổng được dùng để tấn công người thật. Bản tin bảo mật tháng 10 của Google cũng không liệt kê bản vá này, như BleepingComputer đã lưu ý, nên người dùng điện thoại đời cũ chưa nhận được cảnh báo chính thức rằng thiết bị của họ đang gặp rủi ro.

Để kiểm tra, hãy mở Cài đặt, vào mục Giới thiệu về điện thoại hoặc Bảo mật, rồi xem ngày cập nhật bảo mật Android. Bản cập nhật từ tháng 10 năm 2026 trở đi đã bao gồm bản vá. Samsung, Motorola, Xiaomi và các nhà sản xuất khác phát hành bản vá theo lịch riêng, còn nhà mạng có thể trì hoãn cập nhật, vì vậy ngay cả điện thoại chạy phiên bản Android mới hơn cũng có thể vẫn đang chờ. Với những máy mắc kẹt ở Android 12 hoặc 13, cách duy nhất để được bảo vệ hoàn toàn là chuyển sang thiết bị vẫn còn nhận cập nhật.

Nhà nghiên cứu đã báo cáo lỗ hổng cho chương trình thưởng phát hiện lỗi Android của Google vào ngày 5 tháng 5. Một kỹ sư Google viết bản vá vào giữa tháng 6, và bản vá được phát hành trong gói cập nhật bảo mật tháng 10 năm 2026 cho Android 14 đến 17. Bài viết công khai cùng mã chứng minh khái niệm được đăng sau đó, vào ngày 29 tháng 10. Google không bổ sung bước kiểm tra độ dài mà nhà nghiên cứu đề xuất: bản vá của hãng chặn lỗi gây sập máy và xóa tin nhắn độc hại để nó không thể kích hoạt lần nữa.

Điều đó khiến những điện thoại Android đời cũ rơi vào tình trạng khá lạ. Chúng vẫn gọi điện bình thường. Chỉ là người dùng không thể chắc chắn cuộc gọi sẽ kết thúc trọn vẹn.

Thẻ: Google, an ninh mạng, Android, Google Pixel, Samsung Galaxy, BleepingComputer