SMS tử thần: tin nhắn không cần mở vẫn có thể làm sập máy
SMS độc hại Android là tin nhắn được tạo cấu trúc đặc biệt để kích hoạt lỗi khi hệ điều hành tự động phân tích dữ liệu, có thể làm điện thoại sập mà người nhận không cần mở tin hay chạm vào đường dẫn. Được gọi là “SMS of Death”, cuộc tấn công khai thác lỗ hổng SMS Android, mang mã CVE-2026-58882, được nhà nghiên cứu Mark Blaszczyk phát hiện và báo cho Google vào tháng 5. Đây là kiểu tấn công không cần tương tác, vì Android xử lý tin nhắn trước khi nó xuất hiện trong hộp thư SMS thông thường. Do đó, lời khuyên quen thuộc là tránh nhấp vào liên kết không đủ để bảo vệ thiết bị: lỗi có thể phát sinh trước khi người dùng nhìn thấy tin nhắn. Tuy chưa có bằng chứng xác nhận các cuộc tấn công diện rộng nhắm vào người dùng Android, mã khai thác thực tế đã được công bố, nên việc kiểm tra bản vá không nên bị trì hoãn.
Vì sao một tin nhắn có thể làm gián đoạn cuộc gọi và kết nối
Vấn đề nằm ở cách Android xử lý tin nhắn WAP Push. Hệ điều hành phân tích loại tin nhắn này mà không nhất thiết hiển thị nó trong hộp thư SMS thông thường. Theo phân tích kỹ thuật, lỗi kiểm tra độ dài tiêu đề có thể khiến hệ thống tính sai lượng bộ nhớ cần dùng khi tiếp nhận dữ liệu bất thường; hậu quả là tiến trình quản lý liên lạc di động bị sập. Khi tiến trình đó ngừng hoạt động, điện thoại có thể mất sóng, cuộc gọi đang diễn ra bị ngắt và kết nối di động bị gián đoạn. Điều này không chỉ gây phiền toái: mất liên lạc còn có thể cản trở việc gọi trợ giúp khẩn cấp. Trong thử nghiệm của nhà nghiên cứu, 20 tin nhắn độc hại khiến điện thoại Android khởi động lại liên tục. Nếu tin nhắn được gửi lại hoặc hệ thống tiếp tục xử lý nội dung đã lưu, sự cố có thể tái diễn. Vì vậy, đây là rủi ro về tính sẵn sàng của thiết bị, không phải bằng chứng rằng tin nhắn tự nó đánh cắp mật khẩu hay dữ liệu.
Ai có nguy cơ và bản vá hiện bao phủ những phiên bản nào?
Rủi ro không gắn với một thương hiệu riêng; điều quan trọng là phiên bản Android, cấp độ bản vá và việc nhà sản xuất còn hỗ trợ thiết bị hay không. Google đã sửa lỗi trong bản cập nhật bảo mật tháng 10/2026 cho Android 14 đến 17, nhưng thiết bị chạy Android 12 và 13 chưa nhận được bản vá tương ứng theo thông tin được công bố. Các máy cũ hơn hoặc đã ngừng nhận cập nhật cũng đáng lưu ý, bởi chúng có thể không được bảo vệ bằng sửa lỗi mới. Bản vá của Google có tên “Fix remote DoS in decodeWapPdu”; bản sửa xử lý ngoại lệ do tin nhắn bất thường và xóa tin nhắn đó khỏi cơ sở dữ liệu SMS để ngăn lỗi lặp lại. Việc cập nhật đến tay người dùng còn tùy nhà sản xuất và nhà mạng, nên cùng một phiên bản Android không đồng nghĩa mọi máy nhận bản vá cùng thời điểm. Hãy kiểm tra ngày bản vá trên chính thiết bị thay vì chỉ dựa vào số phiên bản Android.
Cách kiểm tra, cập nhật và xử lý khi điện thoại gặp sự cố
Cài bản vá bảo mật Android phù hợp là bước quan trọng nhất; tắt tính năng tải tự động nội dung đa phương tiện trong ứng dụng tin nhắn có thể là biện pháp tạm thời, nhưng không thay thế bản sửa lỗi hệ thống. Tên mục cài đặt khác nhau giữa các hãng, song người dùng thường có thể bắt đầu từ phần Cài đặt, mục Hệ thống hoặc Bảo mật và cập nhật.
- Mở Cài đặt và tìm mục Cập nhật hệ thống hoặc Cập nhật phần mềm; cài mọi bản cập nhật đang được cung cấp.
- Trong phần Thông tin phần mềm hoặc Bản cập nhật bảo mật, kiểm tra phiên bản Android và cấp độ bản vá bảo mật.
- Nếu máy chưa có bản vá, hỏi nhà sản xuất hoặc nhà mạng về lịch cập nhật; hạn chế dùng máy cho liên lạc thiết yếu cho đến khi được cập nhật.
- Nếu điện thoại liên tục khởi động lại, hãy thử khởi động vào chế độ an toàn nếu thiết bị hỗ trợ, sao lưu dữ liệu khi có thể và liên hệ bộ phận hỗ trợ của hãng để được hướng dẫn xử lý.
Đừng xóa tin nhắn hay đặt lại máy theo hướng dẫn không rõ nguồn gốc: thao tác đó có thể làm mất dữ liệu mà không khắc phục được lỗi hệ thống. Nếu thiết bị chạy Android 12 hoặc 13 chưa có bản vá, việc theo dõi thông báo cập nhật của hãng đặc biệt quan trọng.
Kết luận: ưu tiên bản vá, đừng trông chờ vào sự cảnh giác với tin nhắn
SMS of Death cho thấy một tin nhắn có thể gây hậu quả nghiêm trọng ngay cả khi người dùng không mở nó. Nguy cơ trực tiếp là điện thoại mất sóng, gián đoạn cuộc gọi hoặc mắc kẹt trong vòng lặp khởi động lại; đây là sự cố từ chối dịch vụ, không nên nhầm với một cuộc tấn công đánh cắp thông tin. Người dùng nên kiểm tra cấp độ cập nhật và cài bản vá ngay khi nhà sản xuất phát hành cho thiết bị. Với máy chưa được hỗ trợ, hãy hỏi hãng về tình trạng cập nhật và cân nhắc chuyển các liên lạc thiết yếu sang thiết bị đã được vá. Cảnh giác vẫn hữu ích, nhưng trong trường hợp này, bản vá mới là lớp bảo vệ quyết định.
