SMS of Death CVE-2026-58882: Android Lama Tak Dapat Patch

Telset.id – Kerentanan kritis bernama SMS of Death dengan kode CVE-2026-58882 membuat ponsel Android bisa crash hanya lewat satu pesan SMS, dan perangkat yang sudah melewati masa dukungan (end-of-life) dipastikan tidak akan pernah menerima perbaikannya. Google telah merilis patch untuk versi Android yang masih didukung, tetapi pengguna Android 12 dan 13 harus menerima kenyataan bahwa perangkat mereka tetap rentan tanpa solusi resmi.

Kerentanan ini ditemukan oleh peneliti keamanan Mark Blah dan digambarkan sebagai zero-click denial of service (DoS). Artinya, serangan bisa terjadi tanpa interaksi apa pun dari korban. Pengguna tidak perlu membuka pesan, tidak perlu mengklik tautan, dan bahkan tidak akan mengetahui bahwa ada SMS berbahaya yang masuk ke perangkatnya.

Dalam istilah teknis, SMS of Death merupakan bug “improper validation of a header-length value” pada fungsi WapPushOverSms.decodeWapPdu di Android. Julukan SMS of Death muncul karena eksploitasi hanya membutuhkan satu pesan SMS, yang bahkan tidak perlu dibuka oleh penerimanya. Inilah yang membuat ancaman ini berbeda dari serangan phishing atau malware konvensional yang biasanya menuntut tindakan dari pengguna.

Bagaimana SMS of Death Bekerja

Mark Blah menjelaskan bahwa pelaku ancaman dapat mengirim pesan WAP Push berukuran delapan byte yang malformed ke port 2948 pada perangkat Android, dengan susunan 01 06 88 80 80 80 00 BE. Karena ini pesan hex, saat diterjemahkan menjadi signed 32-bit integer, nilainya berubah menjadi -2147483648. Android kemudian mencoba mengalokasikan memori menggunakan nilai negatif tersebut, memicu NegativeArraySizeException yang membuat proses com.android.phone crash.

Proses com.android.phone sendiri mengelola fungsi seluler pada perangkat. Ketika proses ini crash, panggilan telepon terputus dan konektivitas seluler terganggu. Layanan darurat pun disebut ikut terdampak. Yang memperburuk situasi, Android memproses pesan sebelum mencapai kotak masuk, sehingga korban tidak mendapat notifikasi soal SMS tersebut dan tidak akan tahu bahwa pesan itulah yang menyebabkan sistemnya crash.

Sejumlah operator juga berupaya mengirim ulang pesan yang tidak pernah sampai ke kotak masuk, sehingga penderitaan pengguna berlanjut. Android sendiri terus mencoba memproses pesan yang sudah tersimpan di ponsel. Blah menemukan bahwa jika pelaku mengirim 20 pesan atau lebih, perangkat bisa dipaksa masuk ke reboot loop. Pada perangkat Android 12, serangan ini bahkan bisa memicu mode recovery berulang, sehingga factory reset menjadi satu-satunya jalan keluar yang tersedia.

Menurut laporan Blah, pesan yang sudah masuk akan tetap antre dan dicoba ulang setiap kali perangkat menyala. Akibatnya, ponsel bisa terus crash saat booting sampai pesan berbahaya tersebut dihapus. Laporan yang sama menyebut eksploitasi ini memengaruhi Android versi 12 hingga 16 dan ditemukan pada sejumlah perangkat, termasuk Pixel 9 dan ponsel Samsung Galaxy.

Siapa yang Aman dan Siapa yang Tidak

Google merilis perbaikan melalui pembaruan keamanan Android Oktober 2026 untuk versi Android 14 hingga 17. Fix tersebut diberi nama “Fix remote DoS in decodeWapPdu” dan bekerja dengan menangkap exception yang muncul saat Android memproses pesan teks malformed. Patch juga menghapus pesan bermasalah dari basis data SMS agar tidak memicu crash berulang.

Masalahnya, perbaikan itu tidak tersedia untuk perangkat yang masih berjalan di Android 12 atau 13. Pengguna Pixel kemungkinan besar sudah menerima pembaruan ini, tetapi pengguna Samsung, Xiaomi, Motorola, atau OnePlus harus menunggu lebih lama sampai produsen masing-masing menerapkan perbaikan dan mendorong pembaruan ke perangkat mereka. Perbedaan jadwal pembaruan antarprodusen inilah yang membuat sebagian pengguna Android lebih rentan dibanding yang lain.

Tom’s Guide melaporkan telah menghubungi Google setelah menemukan laporan Blah yang menyebut pihak Google sempat menilai isu ini sebagai “non-priority”. Hingga laporan tersebut dipublikasikan, Google belum memberikan respons atas pertanyaan Tom’s Guide. Terlepas dari itu, pembaruan keamanan Android umumnya terpasang otomatis pada perangkat yang didukung, meski ketersediaannya tetap bergantung pada produsen ponsel dan operator jaringan. Sebuah restart mungkin diperlukan untuk menyelesaikan proses instalasi.

Bagi pengguna yang ingin memastikan perangkatnya sudah aman, langkah paling masuk akal adalah memeriksa apakah patch Oktober telah terpasang. Setelah proof-of-concept (PoC) dirilis ke publik, sebagian pengamat menduga sebagian besar produsen Android telah mendorong pembaruannya. Karena itu, pengguna disarankan segera memasang pembaruan yang tersedia. Menariknya, laporan yang sama menyebut serangan ini tampaknya tidak disebar secara massal, melainkan menyasar ponsel tertentu secara individual.

Untuk perangkat yang sudah terlanjur terdampak, seorang kontributor GitHub menemukan cara menghapus pesan berbahaya tersebut. Namun metode ini membutuhkan pengetahuan teknis lebih, sesuatu yang tidak dimiliki mayoritas pengguna ponsel. Bagi yang ingin mencoba, pesan bisa dihapus melalui komputer menggunakan Android Debug Bridge (ADB). Sebagai catatan, pengguna yang rutin mengikuti perkembangan perangkat mungkin sudah tidak asing dengan pembaruan perangkat lewat jalur resmi, seperti yang dibahas dalam informasi Xiaomi 18 Pro Series.

Di sisi lain, kerentanan semacam ini juga menjadi pengingat bahwa pembaruan perangkat lunak bukan sekadar soal fitur baru. Sejumlah pembaruan justru membawa fitur yang mengubah cara pengguna berinteraksi dengan perangkat, seperti yang terlihat pada kehadiran Fitur AI Kindle. Namun dalam kasus SMS of Death, prioritas utama tetaplah patch keamanan, bukan fitur tambahan.

Pengguna juga perlu memahami bahwa ponsel yang sudah melewati masa end-of-life akan tetap rentan tanpa batas waktu. Google memutuskan tidak menyediakan patch untuk perangkat lama, sehingga risiko yang menyertai SMS of Death akan terus ada selama perangkat tersebut digunakan. Keputusan ini menegaskan bahwa siklus dukungan perangkat lunak menjadi faktor penting dalam keamanan sehari-hari, bukan sekadar urusan spesifikasi atau harga saat pembelian.

Bagi pengguna yang terbiasa mengandalkan pembaruan otomatis, memeriksa status patch secara manual menjadi langkah kecil yang berdampak besar. Jika perangkat masih menerima pembaruan keamanan, segera pasang. Jika perangkat sudah berhenti menerima dukungan, pengguna perlu mempertimbangkan risiko yang menyertainya. Informasi seputar pembaruan perangkat dan fitur konsumen lain bisa dipantau lewat topik seperti Fitur Baru Facebook, meski tetap dengan kesadaran bahwa keamanan sistem adalah prioritas tersendiri.

Yang jelas, SMS of Death menunjukkan bahwa satu pesan teks berukuran sangat kecil bisa melumpuhkan fungsi inti ponsel. Karena eksploitasi tidak membutuhkan interaksi korban, satu-satunya pertahanan yang tersedia bagi pengguna adalah memastikan perangkat menjalankan versi Android yang sudah dipatch. Untuk perangkat yang tidak lagi mendapat pembaruan, tidak ada solusi resmi yang bisa diandalkan.