Nguyễn Thùy Linh✔
Thành viên nổi tiếng
Lỗ hổng zero-click CVE-2026-58882 khiến hệ thống tự xử lý gói tin lỗi và làm tê liệt tiến trình sóng di động trước khi người dùng kịp thấy tin nhắn. Bản vá đã có trên Android 14 đến 17 từ tháng 10/2026, nhưng Android 12 và 13 hiện chưa nhận được cập nhật. Một cuộc tấn công zero-click vừa được nhà nghiên cứu bảo mật Mark Blah công bố mã khai thác thực tế (PoC), mang tên “SMS of Death”. Điều đáng ngại nhất ở kỹ thuật này là nạn nhân hoàn toàn bị động: không cần mở hộp thư, không cần nhấp vào bất kỳ liên kết nào, điện thoại vẫn có thể mất sạch sóng di động hoặc rơi thẳng vào vòng lặp khởi động lại. Cơ chế lỗi: Tính sai bộ nhớ từ một tiêu đề tin nhắn Theo phân tích của ông Blah, sự cố bắt nguồn từ việc Android không kiểm tra chính xác độ dài phần tiêu đề của tin nhắn WAP Push. Khi nhận gói tin chứa dữ liệu bất thường, hệ thống hiểu sai kích thước bộ nhớ cần cấp phát, dẫn đến lỗi nghiêm trọng và làm sập tiến trình quản lý kết nối...
Đọc bài gốc tại đây
