Kerentanan SMS of Death Android memungkinkan penyerang menghentikan panggilan dan memicu bootloop hanya dengan nomor telepon korban. Google telah merilis patch untuk Android 14 hingga 17, sementara versi lama tetap rentan per 4 November 2026.
Peneliti keamanan Mark Blaszczyk mengungkapkan celah kritis yang dijuluki SMS of Death pada akhir Oktober 2026. Celah ini menyerang proses telephony Android secara diam-diam. Korban tidak perlu membuka pesan atau menekan apa pun. Cukup menerima SMS WAP Push yang dimodifikasi, sistem telepon langsung crash.
Serangan ini memanfaatkan komponen lama WapPushOverSms di framework telephony Android. Pesan delapan byte dikirim ke port 2948. Nilai panjang header yang salah dibaca sebagai angka negatif. Sistem mencoba mengalokasikan memori dengan ukuran negatif dan melempar exception yang tidak tertangani. Proses com.android.phone mati total.
Cara Kerja SMS of Death Android
Pesan jahat tidak muncul di kotak masuk. Tidak ada notifikasi. Nomor pengirim tetap tersembunyi. Setiap kali proses telephony restart, panggilan aktif terputus. Termasuk panggilan darurat. Peneliti menyebutkan setiap pesan menghentikan layanan selama satu hingga dua detik.
Jika penyerang mengirim sekitar 20 pesan berulang, ponsel bisa masuk bootloop. Pada Android 12, perangkat bahkan masuk mode recovery setiap 90 detik. Satu-satunya jalan keluar bagi pengguna awam biasanya reset pabrik. Beberapa kontributor menemukan cara menghapus pesan lewat ADB, namun metode itu membutuhkan komputer dan keterampilan teknis.
Blaszczyk berhasil mereproduksi serangan di Google Pixel 9 dengan firmware April 2026 dan sejumlah Samsung Galaxy, termasuk seri A. Tingkat keberhasilan mencapai 100 persen pada perangkat yang belum dipatch. Dia menyatakan, “The vulnerability allows a remote attacker to crash a victim’s phone process with just their phone number, no user interaction required.”
Versi Android yang Terdampak dan Status Patch
Kode rentan ada di Android 12 hingga 17. Google sudah menyiapkan perbaikan sejak Juni 2026. Patch resmi masuk pembaruan keamanan Oktober 2026 untuk Android 14, 15, 16, dan 17. Beberapa laporan menyebutkan celah ini juga tercantum di Android Security Bulletin November 2026 dengan kode CVE-2026-58882 dan tingkat kritis.
Masalahnya, perangkat Android 12 dan 13 tidak menerima patch. Banyak ponsel lama masih menggunakan versi tersebut dan sudah keluar dari jendela dukungan keamanan. Pengguna perangkat ini tetap terpapar selama sistem operasinya tidak diganti atau diganti dengan ROM khusus yang sudah diperbaiki.
Laporan dari PhoneArena dan Digital Trends mencatat bahwa patch sedang digulirkan ke perangkat Pixel dan merek lain yang masih didukung. Pengguna disarankan segera memeriksa level patch keamanan di menu Pengaturan, Tentang ponsel, lalu Pembaruan sistem.
Risiko Nyata bagi Pengguna Indonesia
Di Indonesia, jutaan perangkat Android murah dan menengah masih berjalan di Android 12 atau 13. Banyak pengguna tidak rutin memasang update keamanan. Serangan hanya membutuhkan nomor telepon target. Tidak perlu malware, tidak perlu aplikasi jahat, tidak perlu klik tautan.
Dampak paling serius terjadi saat korban sedang menelepon layanan darurat. Panggilan putus tiba-tiba. Dalam kondisi darurat, jeda satu atau dua detik sudah cukup berbahaya. Jika serangan berulang, ponsel bisa tidak bisa digunakan sama sekali hingga direset.
Perlu digarisbawahi bahwa iPhone tidak terdampak. Celah ini spesifik pada kode telephony Android. Pengguna iOS aman dari serangan jenis ini, meski tetap harus waspada terhadap ancaman spyware lain yang lebih canggih.
Langkah Perlindungan yang Bisa Dilakukan
Langkah pertama dan paling penting adalah memasang pembaruan keamanan terbaru. Buka Pengaturan, cari Pembaruan sistem atau Pembaruan keamanan, lalu unduh jika tersedia. Periksa tanggal patch. Idealnya minimal Oktober 2026 atau lebih baru.
Bagi pemilik Android 12 dan 13, pilihan terbatas. Pertimbangkan upgrade ke perangkat baru yang masih mendapat dukungan, atau pasang custom ROM yang sudah memasukkan perbaikan. Hindari membagikan nomor telepon ke pihak yang tidak dikenal. Aktifkan fitur pemblokiran pesan dari nomor tidak dikenal jika tersedia.
Beberapa operator dapat membantu memfilter pesan data SMS tertentu, namun tidak semua operator di Indonesia menyediakan layanan ini secara default. Tetap pantau perilaku ponsel. Jika sinyal tiba-tiba hilang atau panggilan sering putus tanpa alasan, segera periksa update keamanan.
Kerentanan SMS of Death Android mengingatkan bahwa ancaman zero-click masih nyata. Satu pesan tersembunyi saja bisa membuat ponsel lumpuh. Google sudah bertindak untuk versi yang didukung. Kini giliran pengguna memastikan perangkat mereka mendapat perlindungan yang sama. Periksa update hari ini juga.
