הטלפון מאבד רשת לשנייה או שתיים, ושיחה שהייתה באוויר מתנתקת. בתיבת ההודעות אין שום הודעה חדשה, ואין אפילו ממי להתלונן, כי המספר של השולח לא מוצג בכלל. חוקר אבטחה שפרסם את הממצאים באתר smsofdeath.com מראה שהודעת SMS אחת, בנויה נכון, מספיקה כדי לעשות את זה לכל טלפון אנדרואיד שלא קיבל את עדכון אוקטובר.

מה קרה

באנדרואיד יש מסלול ותיק שבו מפעילת הסלולר שולחת לטלפון הודעות הגדרה ולא הודעות שאתם קוראים: המכשיר מקבל אותן, מעבד אותן בעצמו ולא מציג אותן. ההודעה הזדונית נשלחת באותו מסלול, והיא מכילה שדה אורך עם ערך שהרכיב שמפרסר אותה לא טורח לבדוק. הערך מתהפך למספר שלילי, הרכיב מנסה להקצות זיכרון בגודל שלילי, וה-process שמנהל את כל הטלפוניה במכשיר, com.android.phone, קורס. אין כאן פריצה לטלפון, אין גניבת מידע ואין הרצת קוד. יש הפלה, ולסוג הזה של חולשה קוראים denial of service. היא מתויגת CVE-2026-58882.

מה שהופך את זה ממטרד של שנייה לבעיה ממשית הוא שההודעה לא נזרקת אחרי הקריסה. היא נשארת בתור, הטלפון מנסה לעבד אותה שוב באתחול הבא, ולפעמים גם המפעילה שולחת אותה מחדש כי לא קיבלה אישור קליטה. החוקר מדווח על שחזור מלא ב-Pixel 9 ובמכשירי Galaxy ו-A של סמסונג, ועל מכשיר אנדרואיד 12 שנכנס ללופ אתחולים בערך כל 90 שניות עד שנדרש איפוס להגדרות יצרן. הוא מספר גם שהודעה אחת גרמה בבדיקות להפסקות קליטה לסירוגין במשך שבוע. הנתונים האלה מגיעים ממנו, ולא מגוף שבדק אותם באופן עצמאי.

החולשה דווחה לגוגל ב-5 במאי 2026, התיקון נכתב ב-15 ביוני, והוא נכנס לעדכון האבטחה של אוקטובר 2026, אבל רק לאנדרואיד 14 עד 17. גרסאות 12 ו-13 מריצות את אותו קוד ויצאו מחלון העדכונים, כך שלפי החוקר הן לא יקבלו את התיקון בכלל. החולשה גם לא הופיעה ברשימה שגוגל פרסמה לאוקטובר, ובפרויקט GrapheneOS אמרו שהיא תופיע בפרסום של נובמבר. (קוד הדגמה לניצול שלה, אגב, כבר פורסם בגיטהאב.)

למה זה חשוב לכם

רוב הטלפונים בישראל הם אנדרואיד, וחלק נכבד מהם מכשירי סמסונג מדורות שכבר לא מקבלים עדכונים. מכשיר שנשאר על אנדרואיד 12 או 13 הוא בדיוק המקרה שאין לו פתרון דרך עדכון, והוא ממש לא נדיר: אלה טלפונים משנת 2021 ו-2022, הרבה מהם אצל מי שלא מחליף מכשיר כל שלוש שנים.

והנקודה המטרידה היא לא שהטלפון מתאתחל. היא שבזמן הקריסה אין רשת, ולכן שיחה למוקד חירום מתנתקת או לא מצליחה להתחבר מלכתחילה. אף אחד לא דיווח על ניצול בפועל של החולשה. קוד ההדגמה כבר ציבורי.

מה עושים?

בודקים את רמת העדכון: הגדרות, אודות הטלפון, גרסת אנדרואיד, ואז השורה של עדכון האבטחה. תאריך מאוקטובר 2026 ומעלה אומר שהמכשיר מוגן; תאריך מוקדם יותר אומר לחפש עדכון ולהתקין.

אם המכשיר תקוע על אנדרואיד 12 או 13 ואין לו עדכון זמין, אין שום הגדרה לכבות ואין אפליקציה שתעזור. זה שיקול אמיתי לטובת החלפת מכשיר, בעיקר כשזה הטלפון היחיד של מי שעלול להזדקק לשיחת חירום.

אם טלפון כבר נכנס ללופ אתחולים, איפוס להגדרות יצרן מנקה את ההודעה שנשארה בתור, אבל מוחק איתה את כל מה שעל המכשיר. גבו קודם מה שאפשר, ועדיף להתייעץ עם מעבדת שירות לפני שמאפסים.

אין דרך חכמה להתגונן מהודעה שהטלפון מעבד לפני שראיתם אותה. יש רק שאלה אחת, והיא מתי המכשיר קיבל עדכון בפעם האחרונה.