안드로이드 'SMS of Death' 취약점 개념증명 공개
표시된 8바이트 WAP 푸시 메시지로 통화를 끊는 서비스 거부 취약점이며, 구글은 10월 업데이트에서 수정했다.
보안 연구원 Mark Blah가 안드로이드 취약점 CVE-2026-58882의 개념증명(PoC) 익스플로잇을 공개했다고 bleepingcomputer.com이 보도했다. 이 취약점에는 'SMS of Death'라는 별칭이 붙었다.
문제는 클릭 없이도 작동하는 서비스 거부(DoS) 취약점으로, 포트 2948로 데이터 SMS 형태의 잘못된 8바이트 WAP 푸시 메시지를 보내면 발생한다. 이 메시지가 com.android.phone 프로세스를 중단시키면서 모바일 연결이 끊기고, 진행 중인 통화는 물론 긴급 통화까지 끊어진다.
원인은 안드로이드의 WapPushOverSms.decodeWapPdu 함수가 헤더 길이 값을 제대로 검증하지 않는 데 있다. 악성 메시지 20건을 보내면 기기가 재부팅을 반복할 수 있으며, 안드로이드 12 기기 1대는 약 90초마다 복구 모드로 재부팅되는 것으로 나타났다.
구글의 수정 사항은 'Fix remote DoS in decodeWapPdu'라는 이름으로, 예외를 처리하고 악성 메시지를 SMS 데이터베이스에서 삭제한다. 이 취약점은 2026년 10월 안드로이드 보안 업데이트에서 안드로이드 14부터 17까지 수정됐지만, 구글의 10월 보안 공지에는 항목이 올라 있지 않다. 안드로이드 12와 13 기기는 수정을 받지 못해 여전히 취약하다.
깃허브 기여자 Sakis는 안드로이드 디버그 브리지(ADB)를 이용해 악성 메시지를 제거하는 방법을 찾아냈다.
한눈에 보기
CVE-2026-58882는 무엇인가?
포트 2948로 전송되는 잘못된 8바이트 WAP 푸시 데이터 SMS로 통화와 모바일 연결을 끊는 안드로이드의 제로클릭 서비스 거부 취약점이다.
어떤 안드로이드 버전에서 수정됐나?
2026년 10월 안드로이드 보안 업데이트에서 안드로이드 14부터 17까지 수정됐다. 안드로이드 12와 13 기기는 적용받지 못했다.