רוב החולשות בטלפון דורשות שתעשו משהו: שתלחצו, שתתקינו, שתאשרו. לפי התיאור ברשומה, זאת אינה אחת מהן. הודעה נכנסת מסוג מסוים מגיעה אל הרכיב שמפרסר אותה, והפענוח יוצא משליטה בלי שנדרשת מעורבות מצד מי שמחזיק את הטלפון. התוצאה אינה השתלטות אלא מניעת שירות.
מה החולשה?
באנדרואיד יש רכיב שמטפל בהודעות מסוג WAP Push. אלה הודעות שירות שנשלחות אל הטלפון ברשת הסלולרית ואינן נראות בהכרח כהודעת טקסט רגילה, והמערכת מפרסרת אותן בעצמה כדי להבין מה הן מבקשות. הקובץ שעושה את זה נקרא WapPushOverSms.java, והפונקציה היא decodeWapPdu.
הכשל מתחיל בחישוב. לפי התיאור, גלישה של מספר שלם, מצב שבו חישוב חורג מהתקרה של סוג המשתנה ומתגלגל לערך שאינו הגיוני, מובילה לקריאה מחוץ לתחום. כלומר הקוד ניגש לקרוא בזיכרון במקום שאינו שייך למה שהוא אמור לקרוא, והתוצאה היא קריסה.
מה שחשוב כאן אינו עומק הנזק אלא רף הכניסה אליו. התיאור אומר במפורש שאין צורך בהרשאות הרצה נוספות ושאין צורך במעורבות של המשתמש. מי שיכול לשלוח אל המספר שלכם הודעה מהסוג הזה יכול להפעיל את הכשל. אין על מה ללחוץ ואין מה לאשר.
מה שהתיאור אינו אומר ראוי לציון באותה מידה. הוא מדבר על מניעת שירות מרחוק ולא על הרצת קוד, ולרשומה לא מצורף ציון CVSS ולא סיווג CWE. מי שמחפש כאן השתלטות על הטלפון לא ימצא אותה בניסוח הזה.
מי מושפע?
הרשומה אינה מונה גרסאות אנדרואיד ואינה מצרפת רשימת מוצרים, ולכן אי אפשר לקבוע ממנה אילו גרסאות בטווח. מה שכן ידוע הוא שהחולשה מטופלת בעדכון האבטחה של אנדרואיד מ-1 בנובמבר 2026, ושם גם מפורט מה היא נוגעת בו.
הקהל כאן הוא מי שמחזיק טלפון אנדרואיד. זה שונה מרוב הדפים בסדרה הזאת, שעוסקים בתוכנות שרת ובמכשירי תשתית. בישראל אנדרואיד הוא חלק גדול מהטלפונים בשימוש, כך שהנחת העבודה הסבירה היא שהחולשה נוגעת לחלק נכבד מהקוראים.
מה שמצמצם הוא שמדובר ברכיב טלפוניה. הוא קיים במכשיר שמקבל שירות סלולרי, ופחות רלוונטי לטאבלט שעובד רק ברשת אלחוטית בלי כרטיס SIM.
האם מנוצלת בפועל?
אין דיווח על ניצול, והחולשה אינה נמצאת בקטלוג ה-KEV של CISA, הסוכנות האמריקאית להגנת סייבר ותשתיות, שמרכז את החולשות שיש ראיות לשימוש בהן בידי תוקפים.
יש הבדל בין חולשה שמאפשרת השתלטות לבין חולשה שמפילה שירות, והוא נוגע גם לשאלה מי יטרח. הרצת קוד משמשת לחדירה ויש לה שוק; קריסה של שירות הטלפוניה שווה פחות לתוקף שמחפש מידע, ויותר למי שרוצה להטריד מספר מסוים או לנתק אותו. זה אינו הופך את החולשה לזניחה, אבל זה מסביר למה אין כאן בהלה.
מה עושים?
1. התקינו את עדכון האבטחה של נובמבר 2026. בהגדרות הטלפון חפשו את מסך עדכוני המערכת או עדכון האבטחה ובקשו בדיקה. המסך הזה מציג גם את רמת עדכון האבטחה הנוכחית שלכם, כתאריך.
2. השוו את התאריך שמוצג לכם אל 1 בנובמבר 2026. אם רמת עדכון האבטחה שלכם מוקדמת מהתאריך הזה, התיקון עוד לא הגיע אליכם. זאת הבדיקה המדויקת במקרה הזה, וגרסת אנדרואיד לבדה אינה אומרת עליה דבר.
3. אם היצרן של המכשיר שלכם אינו משחרר עדכונים יותר, העדכון הזה לא יגיע. במצב כזה אין מעקף שמופיע ברשומה, והשיקול הוא של החלפת מכשיר ולא של הגדרה שאפשר לשנות.
4. עדכון האבטחה של אנדרואיד מ-1 בנובמבר 2026 מרכז את הפרטים ואת רשימת התיקונים שנכללו בו.