Peneliti keamanan Mark Blaszczyk membuka detail celah CVE-2026-58882 di Android, yang dijuluki “SMS of Death”. Satu pesan WAP Push yang dirancang khusus bisa membuat proses telepon (com.android.phone) macet, tanpa perlu disentuh pemilik ponsel. Laporan eSecurity Planet pada 30 Oktober 2026 menyebut panggilan, termasuk panggilan darurat, ikut terputus selama proses itu bermasalah.
Cara kerja dan dampaknya
Menurut laporan itu, pesan cacat tersebut memicu galat NegativeArraySizeException di layanan telepon. Layanan biasanya hidup lagi dalam satu sampai dua detik, tetapi pesan jahat tetap tertinggal di antrean pesan tertunda dan tidak muncul di kotak masuk. Operator seluler juga bisa mengirim ulang pesan itu. Blaszczyk menemukan bahwa sekitar 20 pesan sudah cukup untuk membuat ponsel tak terpakai dalam waktu lama, dan fitur RescueParty bisa mendorong perangkat ke mode pemulihan yang biasanya berujung reset pabrik.
Blaszczyk menguji celah ini pada Google Pixel dan beberapa Samsung Galaxy seri A dengan tingkat keberhasilan 100 persen. Ia melaporkannya secara bertanggung jawab pada Mei 2026, dan kode uji coba buatannya kini tersedia publik. Laporan yang saya baca tidak menyebut eksploitasi di dunia nyata.
Cybernews dan eSecurity Planet sedikit berbeda soal versi terdampak. Cybernews menulis Android 12 sampai 16, sedangkan perbaikan Google disebut mencakup Android 14 sampai 17. Karena Google belum terbaca memublikasikan daftar versi lengkapnya di sumber yang bisa saya akses, anggap semua ponsel Android 12 ke atas berpotensi terdampak sampai ada konfirmasi vendor.
Status perbaikan
Google mengunci perubahan kode perbaikan pada 15 Juni 2026 dan memasukkannya ke Android Open Source Project. Pembaruan keamanan Oktober 2026 memuat perbaikan itu untuk Android 14 sampai 17. Google tidak memakai usulan peneliti berupa validasi panjang header. Perusahaan memperluas penanganan pengecualian agar galat ditangkap dan pesan cacat dibuang dari antrean. GrapheneOS menyatakan perbaikannya akan masuk buletin keamanan November.
Masalah praktisnya ada pada ponsel yang sudah tidak menerima tambalan. Perangkat seperti itu bisa tetap rentan tanpa batas waktu, dan di pasar Indonesia banyak ponsel Android kelas menengah ke bawah yang berhenti mendapat pembaruan setelah dua sampai tiga tahun.
Langkah yang perlu Anda ambil
Buka Pengaturan, cari menu pembaruan sistem, dan pasang pembaruan keamanan terbaru. Periksa tingkat patch keamanan di ponsel Anda; yang berlaku adalah patch Oktober 2026 atau lebih baru. Bila pabrikan ponsel Anda belum merilisnya, tanyakan jadwalnya lewat dukungan resmi mereka. Untuk ponsel yang sudah tak mendapat pembaruan, pertimbangkan mengganti perangkat bila dipakai untuk pekerjaan penting atau sebagai jalur panggilan darurat. Tidak ada langkah pencegahan dari sisi pengguna yang dijelaskan dalam laporan. Peneliti menjelaskan prosedur pemulihan lewat ADB yang membutuhkan akses teknis, jadi pengguna awam sebaiknya membawa ponsel yang macet ke pusat layanan pabrikan.
Sumber: eSecurity Planet dan Cybernews. Gambar: eSecurity Planet.