Viral nusantara pekan ini diisi temuan keamanan yang menyentuh hampir semua pengguna ponsel: sebuah pesan pendek yang tidak pernah muncul di kotak masuk bisa mematikan layanan telepon Android. Celah itu diberi nama SMS of Death dan tercatat sebagai CVE-2026-58882.
Penelitinya adalah Mark Blaszczyk, peneliti keamanan independen yang memublikasikan bukti konsep serangan. Pesan yang dikirim berupa WAP Push yang cacat. Penerima tidak perlu membuka apa pun, tidak perlu mengeklik tautan, bahkan tidak perlu melihat notifikasi.
Dampaknya bertingkat. Panggilan yang sedang berjalan bisa terputus, termasuk panggilan darurat. Bila pesan dikirim berulang dalam jumlah cukup, ponsel masuk ke putaran restart tanpa henti.
Viral Nusantara: Apa Itu SMS of Death
Nama SMS of Death sebenarnya bukan barang baru. Istilah itu dulu dipakai untuk pesan yang membuat ponsel lama membeku. Versi 2026 memakai jalur berbeda, yaitu WAP Push, pesan khusus jaringan seluler yang biasanya dipakai operator untuk mengirim pengaturan.
Android memproses WAP Push lewat komponen WapPushOverSms di dalam kerangka telepon. Komponen inilah yang menjadi titik lemah. Pesan dengan struktur panjang tertentu memicu kesalahan saat diproses, lalu menjatuhkan layanan telepon secara keseluruhan.
Menurut eSecurity Planet, pesan berbahaya itu tidak muncul di kotak masuk dan nomor pengirimnya tidak ditampilkan. Karena semuanya terjadi di latar belakang, tidak ada tanda apa pun yang bisa dilihat pengguna sebelum gangguan terjadi.
Ini yang membuat kelas serangan seperti ini sulit dicegah dengan kebiasaan biasa. Tidak ada tautan mencurigakan untuk dihindari dan tidak ada pesan untuk dihapus, karena kerusakan terjadi sebelum pesan sempat terlihat.
Iklan
Paviliun Akademika: punya kost tanpa repot kelola
Paviliun Akademika menghadirkan pilihan investasi kost terkelola di Akademika Townhouse, Gowa. Unit disiapkan untuk disewakan, dengan pengelolaan kawasan yang ditangani pemilik proyek.
Bagaimana Satu Pesan Bisa Memutus Panggilan
WAP Push dikirim lewat jaringan seluler, bukan lewat aplikasi pesan biasa. Operator memakainya untuk hal-hal teknis, misalnya pengaturan internet atau konfigurasi layanan. Android menerima pesan itu di lapisan sistem, jauh sebelum aplikasi pesan pengguna bekerja.
Blaszczyk menemukan bahwa panjang header tertentu membuat proses parsing gagal. Alih-alih menolak pesan dan melanjutkan, layanan telepon mengalami kesalahan yang menjatuhkan seluruh proses. Panggilan aktif ikut terputus karena suara dan sinyal dikelola oleh komponen yang sama.
Bila pengirim menembakkan sekitar 20 pesan serupa dalam waktu singkat, ponsel bisa jatuh ke bootloop. Sistem terus mencoba memulai layanan telepon, gagal, lalu restart. Pada kondisi terburuk, perangkat tidak bisa dipakai sama sekali.
Pemulihan dari kondisi itu tidak selalu sederhana. Sebagian pengguna perlu bantuan teknisi atau menghubungkan ponsel ke komputer untuk membersihkan berkas sistem yang rusak. Bagi pengguna awam, hasil akhirnya terasa seperti ponsel mati total.
Versi Android yang Terdampak
Laporan soal cakupan versi tidak sepenuhnya seragam. heise online menyebut celah memengaruhi Android 12 sampai 17. eSecurity Planet menulis Android 12 sampai 16. CNN Indonesia menyebut Android 12 ke atas.
Perbedaan itu wajar dalam pelaporan keamanan, karena peneliti biasanya menguji sejumlah perangkat, bukan seluruh kombinasi versi dan pabrikan. Yang lebih penting adalah status tambalannya. Google mendistribusikan perbaikan untuk Android 14 sampai 17 pada pembaruan keamanan Oktober 2026.
Artinya, perangkat dengan Android 12 dan 13 yang tidak lagi menerima pembaruan keamanan tetap terbuka. Begitu pula ponsel yang terlambat mendapat pembaruan dari pabrikan atau operator.
Pengujian yang dipublikasikan menyebut beberapa perangkat populer terdampak, termasuk lini Google Pixel dan Samsung Galaxy. Dua merek itu dipakai banyak pengguna Indonesia, baik sebagai perangkat utama maupun ponsel kedua.
Kenapa Panggilan Darurat Jadi Sorotan
Yang membuat temuan ini naik ke pemberitaan luas bukan sekadar ponsel restart. Serangan ini bisa memutus panggilan darurat tepat saat pengguna membutuhkannya. Dalam situasi mendesak, gangguan beberapa detik saja bisa berdampak serius.
Selain itu, serangan tidak memerlukan akses fisik ke perangkat. Pengirim hanya perlu mengetahui nomor korban. Tidak ada kata sandi yang dibobol dan tidak ada aplikasi yang dipasang, sehingga jejaknya sulit dikenali pengguna.
Karena layanan telepon yang dijatuhkan, gejalanya bisa menyerupai masalah jaringan biasa. Pengguna mungkin mengira kartu SIM bermasalah atau sinyal operator sedang buruk, padahal penyebabnya pesan yang masuk diam-diam.
Untuk operator, ini juga persoalan keandalan jaringan. Pesan yang dirancang untuk keperluan konfigurasi berubah menjadi alat gangguan yang murah dan mudah diulang.
