एक अदृश्य संदेश फोन कॉल बाधित कर सकता है
सिर्फ आठ बाइट का खास तौर पर तैयार किया गया टेक्स्ट संदेश, सुरक्षा खामी वाले Android फोन में कॉलिंग सेवा को क्रैश कर सकता है, जारी कॉल काट सकता है और बार-बार पहुंचाए जाने पर फोन को सामान्य रूप से चालू होने में भी मुश्किल पैदा कर सकता है। सुरक्षा शोधकर्ता Mark Blaszczyk ने 29 अक्टूबर, 2026 को इस खामी का खुलासा किया। उन्होंने 5 मई को पहली बार Google को इसकी सूचना दी थी।
विषय-सूची
- एक अदृश्य संदेश फोन कॉल बाधित कर सकता है
- संदेश इनबॉक्स तक क्यों नहीं पहुंचता
- बड़ी संख्या नकारात्मक लंबाई में बदल जाती है
- थोड़ी देर की रुकावट बार-बार होने वाली विफलता कैसे बनती है
- रिकवरी स्क्रीन पर डेटा खोने का खतरा क्यों है
- किन Android संस्करणों पर ध्यान देना जरूरी है?
- शिकायत से अलग रास्ते से आया सुधार
- सुधार में क्या बदला
- फोन मालिक अभी क्या कर सकते हैं
- मुख्य बातें
इस खामी को SMS of Death कहा गया है और सुरक्षा रिपोर्टों में इसकी पहचान CVE-2026-58882 के रूप में की गई है। यह उस सॉफ्टवेयर को प्रभावित करती है जो कुछ आने वाले संदेशों को मैसेजिंग ऐप तक पहुंचने से पहले प्रोसेस करता है। प्राप्तकर्ता को कुछ खोलने, कोई ऐप इंस्टॉल करने या लिंक पर टैप करने की जरूरत नहीं होती। Blaszczyk के अनुसार, दुर्भावनापूर्ण संदेश इनबॉक्स में कोई प्रविष्टि या सूचना नहीं दिखाता।
Blaszczyk ने अप्रैल 2026 के फर्मवेयर पर चल रहे Google Pixel 9 और कई Samsung Galaxy फोन, जिनमें Galaxy A सीरीज के मॉडल भी शामिल थे, पर इस समस्या को दोहराकर दिखाया। उन्होंने बताया कि इन डिवाइसों पर हर परीक्षण में यह सफल रहा। एक संदेश से Android की कॉलिंग प्रक्रिया फिर शुरू हुई और करीब एक से दो सेकंड तक सेल्युलर सेवा बाधित रही।
स्वतंत्र सुरक्षा शोधकर्ता Blaszczyk ने Android में टेलीफोन से जुड़े कामों के लिए जिम्मेदार प्रक्रिया पर तत्काल असर का वर्णन किया:
एक गलत तरीके से बनाया गया WAP Push SMS Android पर com.android.phone को क्रैश कर देता है, जिससे जारी कॉल कट जाती हैं (आपातकालीन कॉल सहित), और पीड़ित को कुछ भी करने की जरूरत नहीं पड़ती,
परीक्षण के माहौल के बाहर किसी हमले की सूचना नहीं मिली है। आपातकालीन सेवाओं में बाधा की चेतावनी शोधकर्ता के आकलन पर आधारित है। प्रभावित फोन, मोबाइल नेटवर्क और देशों की पूरी सूची प्रकाशित नहीं की गई है। व्यावहारिक चिंता यह है कि सेवा में थोड़ी देर की रुकावट बातचीत खत्म कर सकती है, जबकि बार-बार की रुकावट जरूरत के समय किसी को संपर्क बनाए रखने से रोक सकती है।
संदेश इनबॉक्स तक क्यों नहीं पहुंचता
Android को दुर्भावनापूर्ण सामग्री WAP Push के जरिए मिलती है। यह मोबाइल नेटवर्क पर डेटा और निर्देश भेजने की एक पुरानी तकनीक है। इसके वैध इस्तेमाल में फोन को मल्टीमीडिया संदेश प्राप्त करने या कैरियर की सेटिंग लागू करने के लिए कहना शामिल है। किसी व्यक्ति के पढ़ने के लिए लिखे गए सामान्य टेक्स्ट संदेश के उलट, इस तरह के संदेश को सिस्टम सॉफ्टवेयर अपने आप प्रोसेस करता है।
यह प्रोसेसिंग Android का WapPushOverSms घटक करता है। खामी इसके डिकोडिंग फ़ंक्शन में है, जहां फोन संदेश के एक हिस्से की लंबाई बताने वाली जानकारी पढ़ता है। सामान्य संदेश प्रबंधन पूरा होने से पहले कॉलिंग सेवा में त्रुटि आने के कारण प्राप्तकर्ता को देखने या मिटाने के लिए कोई संदेश दिखाई नहीं देता।
इस तरह हमला उस मौके को पार कर जाता है, जब लोग आम तौर पर तय करते हैं कि कोई संदेश संदिग्ध है या नहीं। अनजान प्रेषकों को नजरअंदाज करना या लिंक न खोलना उस खामी से बचाने में खास मदद नहीं करता, जो अपने आप होने वाली प्रोसेसिंग के दौरान सक्रिय होती है। सुरक्षा मुख्य रूप से संदेश संभालने वाले ऑपरेटिंग सिस्टम घटक को ठीक करने पर निर्भर करती है।
बड़ी संख्या नकारात्मक लंबाई में बदल जाती है
Blaszczyk ने क्रैश का कारण संख्या रूपांतरण की त्रुटि को बताया। Android संदेश के हेडर की लंबाई ऐसी डेटा टाइप से पढ़ता है जो बड़ी संख्याएं रख सकता है, फिर यह जांचे बिना उसे 32-बिट साइन किए हुए पूर्णांक में बदल देता है कि संख्या उसमें समा सकती है या नहीं।
बताए गए परीक्षण में, इस रूपांतरण के दौरान 2,147,483,648 की संख्या बदलकर नकारात्मक 2,147,483,648 हो जाती है। इस आकार का साइन किया हुआ पूर्णांक अधिकतम 2,147,483,647 तक की सकारात्मक संख्या रख सकता है। तैयार की गई संख्या इस सीमा से बस थोड़ी आगे है।
इसके बाद Android नकारात्मक लंबाई का इस्तेमाल करके डेटा के एक ब्लॉक के लिए जगह आरक्षित करने की कोशिश करता है। उस कार्रवाई के लिए नकारात्मक आकार का कोई अर्थ नहीं है, इसलिए सॉफ्टवेयर NegativeArraySizeException नाम की त्रुटि पैदा करता है। इस त्रुटि को ठीक से संभाला नहीं जाता और नतीजतन com.android.phone बंद हो जाता है।
आठ बाइट के संदेश में पांच बाइट का एक क्रम होता है, जो समस्या पैदा करने वाली लंबाई की जानकारी देता है। इसका छोटा आकार खामी की गंभीरता समझाता है: किसी केंद्रीय सिस्टम प्रक्रिया के संदेश को पढ़ते समय विफल होने से एक छोटा-सा संदेश बड़ा व्यवधान पैदा कर सकता है।
थोड़ी देर की रुकावट बार-बार होने वाली विफलता कैसे बनती है
मोबाइल कैरियर आम तौर पर फोन से संदेश मिलने की पुष्टि की अपेक्षा करते हैं। जब Android उस आदान-प्रदान को पूरा करने से पहले क्रैश हो जाता है, तो कैरियर संदेश फिर से भेजने की कोशिश कर सकता है। इस तरह टेक्स्ट संदेशों की विश्वसनीय डिलीवरी के लिए बना तंत्र उसी हानिकारक सामग्री को फोन पर दोबारा पहुंचा सकता है।
Android आने वाले संदेशों को प्रोसेस करते समय लंबित कतार में भी रखता है। Blaszczyk ने बताया कि गलत तरीके से बना संदेश वहां रह सकता है और रीस्टार्ट के बाद फिर से प्रोसेस हो सकता है, जिससे वही क्रैश दोबारा होने का मौका बनता है।
Blaszczyk ने बताया कि फोन रीस्टार्ट करने से भी व्यवधान खत्म क्यों नहीं हो सकता:
गलत तरीके से बना संदेश कतार में रहता है और हर बार बूट होने पर फिर से आजमाया जाता है, इसलिए फोन से उसे हटाए जाने तक स्टार्टअप के दौरान क्रैश हो सकता है,
Blaszczyk ने चेतावनी दी कि करीब 20 संदेश किसी डिवाइस को लंबे समय तक इस्तेमाल के लायक नहीं रहने दे सकते हैं। परीक्षण में यह भी बताया गया कि करीब 30 संदेश तेजी से आने के बाद ज्यादा लगातार विफलताएं शुरू हुईं। ये आंकड़े परीक्षण की स्थितियों को बताते हैं, हर फोन पर समस्या शुरू होने की कोई सटीक सीमा नहीं।
शोधकर्ता ने कुछ लंबे समय तक बने रहने वाली विफलताओं का कारण आने वाले SMS डेटा को रखने वाले SQLite डेटाबेस में खराबी को बताया। SQLite एक छोटा डेटाबेस सिस्टम है, जिसका इस्तेमाल ऐप और ऑपरेटिंग सिस्टम व्यवस्थित रिकॉर्ड रखने के लिए करते हैं। अगर स्टार्टअप के दौरान जरूरी रिकॉर्ड बार-बार विफलता पैदा करें, तो फोन के ठीक होने की हर कोशिश में कॉलिंग सेवा क्रैश हो सकती है।
परीक्षण में कैरियर की ओर से संदेश दोबारा भेजे जाने से कॉलिंग में रुक-रुककर समस्या हुई, जो एक सप्ताह तक चली। इसमें एक ही दुर्भावनापूर्ण संदेश से जुड़ी रुकावट भी शामिल थी। कैरियर के पास लंबित संदेशों और फोन में सहेजे गए रिकॉर्डों का मेल समझाता है कि असर शुरुआती डिलीवरी के बाद भी क्यों बना रह सकता है।
रिकवरी स्क्रीन पर डेटा खोने का खतरा क्यों है
Android में RescueParty नाम का एक स्वचालित रिकवरी तंत्र है। जब कोई अहम घटक बार-बार विफल होता है, तो यह उसे ठीक करने की कोशिश करता है और करीब 90 सेकंड बाद फोन को रिकवरी मोड में ले जा सकता है। इसके बाद उपयोगकर्ताओं को डेटा मिटाने का विकल्प दिख सकता है।
फैक्टरी रीसेट से फोन का स्थानीय डेटा और सेटिंग मिट जाती हैं। Blaszczyk ने बताया कि परीक्षण में रीसेट से सिर्फ अस्थायी राहत मिली, क्योंकि कैरियर बाद में उन संदेशों को फिर से भेज सकता था जिनकी प्राप्ति की पुष्टि बाकी थी। इसलिए फोन का डेटा मिटाने वाले व्यक्ति की निजी जानकारी खो सकती है और उसके बाद क्रैश फिर शुरू हो सकते हैं।
Blaszczyk ने Android Debug Bridge यानी ADB के जरिए रिकवरी का तरीका बताया। यह ऐसा टूल है जिससे कंप्यूटर विकास और रखरखाव के लिए Android डिवाइस से संपर्क कर सकता है। उनकी प्रक्रिया में उस थोड़े समय के दौरान प्रभावित SMS रिकॉर्ड मिटाना शामिल था, जब फोन इस्तेमाल किया जा सकता था।
ADB से रिकवरी के लिए तकनीकी पहुंच चाहिए, और कई फोन मालिकों ने जरूरी कनेक्शन पहले से सेट नहीं किया होगा। शोधकर्ता के तरीके में भौतिक SIM को ऐसे फोन में डालना भी शामिल था जो Android पर नहीं चलता, ताकि लंबित संदेश प्राप्त कर उनकी पुष्टि की जा सके। उन्होंने चेताया कि मोबाइल सब्सक्रिप्शन में eSIM होने पर रिकवरी अधिक मुश्किल हो सकती है।
बार-बार क्रैश का सामना कर रहे लोगों के लिए जरूरी है कि डेटा मिटाने का विकल्प चुनने से पहले किसी योग्य तकनीशियन से मदद लें। बताई गई रिकवरी प्रक्रिया में सिस्टम रिकॉर्ड और पहुंच की सेटिंग शामिल हैं, इसलिए यह सामान्य टेक्स्ट संदेश मिटाने से कहीं ज्यादा कठिन है।
किन Android संस्करणों पर ध्यान देना जरूरी है?
तकनीकी विवरणों में मुख्य रूप से Android 12 से Android 16 तक के संस्करण प्रभावित बताए गए हैं। कुछ रिपोर्टें इस दायरे को Android 17 तक भी बढ़ाती हैं। परीक्षण में खास तौर पर Pixel और Samsung Galaxy डिवाइसों का नाम लिया गया, जबकि समस्या का संभावित दायरा इससे बड़ा है, क्योंकि यह Android के साझा टेलीफोनी कोड में मौजूद है।
अक्टूबर 2026 में जारी बताई गई इस खामी की ठीक Android 14 से Android 17 तक के संस्करणों के लिए है। Android 12 या Android 13 पर चल रहे फोन सबसे स्पष्ट चिंता हैं: बताया गया है कि इन संस्करणों को Google का मौजूदा सुरक्षा समर्थन नहीं मिलता, इसलिए उपयोगकर्ताओं को ठीक निर्माता या किसी अन्य ऑपरेटिंग सिस्टम प्रदाता से मिलने वाली ठीक पर निर्भर रहना पड़ता है।
फोन का Android संस्करण और उसकी सुरक्षा अपडेट की स्थिति अलग-अलग सवालों के जवाब देते हैं। संस्करण बताता है कि ऑपरेटिंग सिस्टम की कौन-सी पीढ़ी है। सुरक्षा अपडेट की जानकारी से पता चलता है कि उसकी कमजोरियों को हाल ही में ठीक किया गया है या नहीं। एक ही Android संस्करण पर चल रहे दो फोन को अपडेट अलग-अलग समय पर मिल सकते हैं।
अलग-अलग मॉडल तक अपडेट कब पहुंचता है, इसमें निर्माता और कैरियर की भूमिका होती है। फोन मालिकों को Settings में, आम तौर पर About phone, Security या Software updates के तहत, सुरक्षा अपडेट की तारीख देखनी चाहिए और उपलब्ध नवीनतम अपडेट इंस्टॉल करना चाहिए। इस खामी के लिए बताई गई ठीक अक्टूबर 2026 के अपडेट से जुड़ी है, हालांकि अपडेट जारी होने का समय स्पष्ट न हो तो निर्माता से अपने मॉडल की पुष्टि लेना उपयोगी है।
शिकायत से अलग रास्ते से आया सुधार
Blaszczyk ने कहा कि Google ने शुरुआत में उनकी रिपोर्ट को गैर-सुरक्षा समस्या माना और उनके अनुरोध पर कार्रवाई से सहमत हुए बिना उसे बंद कर दिया। उनके प्रकाशित विवरण में आगे की अपीलों और 29 अक्टूबर को फिर से गैर-सुरक्षा समस्या वर्गीकृत किए जाने का जिक्र है। इस बीच, Android इंजीनियर सुधार तैयार कर रहे थे।
बताया गया घटनाक्रम शोधकर्ता की शिकायत पर हुई कार्रवाई और Android की विकास तथा अपडेट प्रणालियों से होकर कोड के आगे बढ़ने की प्रक्रिया को अलग-अलग दिखाता है:
- 5 मई, 2026: Blaszczyk ने पहली बार Google को खामी की सूचना दी।
- 15 जून: Google ने संदेश प्रोसेसिंग की विफलता ठीक करने के लिए इंजीनियरिंग सुधार तैयार किया।
- जुलाई: GrapheneOS ने बताया कि उसे सुरक्षा पूर्वावलोकन के जरिए पैच मिला और उसने उसी महीने उसे लागू कर दिया।
- 5 अगस्त: बताया गया कि सुधार को Google की विकास प्रक्रिया में शामिल कर लिया गया।
- अक्टूबर: बदलाव Android Open Source Project में सार्वजनिक हुआ और Android 14 से Android 17 तक के अपडेट में शामिल किया गया।
- 29 अक्टूबर: Blaszczyk ने अपने निष्कर्ष सार्वजनिक किए।
- नवंबर: GrapheneOS ने बताया कि इस खामी को Android के सुरक्षा बुलेटिन में शामिल किए जाने की उम्मीद है।
GrapheneOS ने सुझाव दिया कि आंतरिक संचार की समस्या Google की रिपोर्ट पर कार्रवाई को समझा सकती है। यह ऑपरेटिंग सिस्टम परियोजना के डेवलपरों का अनुमान था। यहां बताए गए घटनाक्रम में शिकायत खारिज होना और क्रैश रोकने के लिए किया गया इंजीनियरिंग बदलाव, दोनों शामिल हैं।
नवंबर का बुलेटिन अगला घोषित प्रकाशन चरण था। GrapheneOS ने कहा कि उसने जुलाई में ही सुधार लागू कर दिया था, इसलिए बाद की बुलेटिन तारीख सार्वजनिक सुरक्षा दस्तावेज से जुड़ी थी, पैच को पहली बार लागू करने से नहीं।
सुधार में क्या बदला
बताए गए अनुसार, Google के सुधार में त्रुटि संभालने का दायरा बढ़ाया गया है, ताकि Android रनटाइम त्रुटि को पकड़कर गलत तरीके से बने संदेश को लंबित कतार से हटा सके। इससे हानिकारक रिकॉर्ड पर बार-बार क्रैश होने के बजाय प्रोसेसिंग आगे बढ़ सकती है।
Blaszczyk ने सुझाव दिया था कि रूपांतरण से पहले जांचा जाए कि हेडर की बताई गई लंबाई मान्य है या नहीं। बताया गया इंजीनियरिंग तरीका इसके बजाय विफलता को संभालता है और जिम्मेदार संदेश को हटा देता है। व्यावहारिक रूप से, उस रिकॉर्ड को हटाने से बार-बार प्रोसेसिंग की समस्या भी दूर होती है, जो एक संदेश की डिलीवरी को लगातार सेवा बाधित करने वाली समस्या में बदल सकती है।
सुधार गलत तरीके से बने संदेश के सामने आने पर कार्रवाई करता है। परीक्षण में बताए गए करीब 20 संदेश बार-बार होने वाली बाधा की गंभीरता से जुड़े हैं, न कि संदेशों की ऐसी संख्या से, जिसके आने तक सुधार को इंतजार करना पड़े।
Android Open Source Project में सुधार शामिल होने का मतलब है कि मूल कोड Android सॉफ्टवेयर में शामिल किए जाने के लिए उपलब्ध है। किसी फोन मालिक तक अपडेट पहुंचना अब भी उस मॉडल के लिए उपयुक्त अपडेट तैयार और वितरित किए जाने पर निर्भर करता है। इसलिए Google की ओर से कोड ठीक किए जाने की जानकारी के साथ-साथ अपने मॉडल के समर्थन की स्थिति जांचना भी जरूरी है।
फोन मालिक अभी क्या कर सकते हैं
समर्थित फोन के मालिकों को नवीनतम सिस्टम सुरक्षा अपडेट इंस्टॉल करना चाहिए और निर्माता के जारी नोट या सहायता संबंधी जानकारी देखकर सुधार की पुष्टि करनी चाहिए। Android 12 या Android 13 इस्तेमाल करने वालों को पूछना चाहिए कि उनके मॉडल को पैच मिलेगा या वह समर्थित Android संस्करण में अपग्रेड हो सकता है।
Blaszczyk ने प्रदर्शन के लिए एक ऐप और उसका सोर्स कोड प्रकाशित किया है, जिससे पैच जल्द जारी करने की जरूरत बढ़ गई है। उनके प्रकाशन में दूसरों को निशाना न बनाने की चेतावनी भी है, खासकर इसलिए कि आपातकालीन संचार में बाधा गंभीर खतरा पैदा कर सकती है।
जिन लोगों के फोन बार-बार सेल्युलर सेवा खोते हैं या रीस्टार्ट होते हैं, उन्हें फोन निर्माता या किसी योग्य मरम्मत सेवा से संपर्क करना चाहिए। अगर फोन पर रिकवरी का संदेश दिख रहा है और मालिक डेटा बचाना चाहता है, तो उसे सावधानी से संभालना चाहिए। फोन पर कॉल कायम न रह पाने की स्थिति में तत्काल सहायता की जरूरत हो तो किसी दूसरे चालू फोन का इस्तेमाल करें।
फोन मालिकों के लिए मुख्य बात सीधी है: यह विफलता संदिग्ध संदेश का आकलन करने का मौका मिलने से पहले होती है। समर्थित डिवाइसों के लिए सबसे व्यावहारिक सुरक्षा नवीनतम सुरक्षा अपडेट है, जो इस्तेमाल किए जा रहे फोन के लिए जारी किया गया हो।
मुख्य बातें
- गलत तरीके से बनाया गया WAP Push SMS, प्राप्तकर्ता की किसी कार्रवाई के बिना Android की कॉलिंग सेवा को क्रैश कर सकता है।
- Blaszczyk ने Pixel 9 और Samsung Galaxy डिवाइसों पर खामी को दोहराकर दिखाया। हर बार सेवा करीब एक से दो सेकंड तक बाधित हुई।
- बार-बार प्रोसेसिंग और कैरियर की ओर से संदेश दोबारा भेजे जाने से लंबे समय तक व्यवधान, लगातार क्रैश और रिकवरी के संदेश आ सकते हैं।
- अक्टूबर 2026 में जारी बताया गया सुधार Android 14 से Android 17 तक के संस्करणों के लिए है। Android 12 और Android 13 के मालिकों को अपने डिवाइस प्रदाताओं से आगे का समर्थन मिलने पर निर्भर रहना होगा।
- परीक्षण के बाहर किसी हमले की सूचना नहीं मिली है। शोधकर्ता ने चेताया कि कॉलिंग में बाधा से आपातकालीन सेवाओं तक पहुंच प्रभावित हो सकती है।
- फैक्टरी रीसेट से डेटा मिट जाता है और उसके बाद हानिकारक संदेश फिर भेजे जा सकते हैं। तकनीकी रिकवरी के लिए ADB की जरूरत पड़ सकती है।
