एक टेक्स्ट मैसेज Android फोन क्रैश कर सकता है, लेकिन Android 12 और 13 के लिए सुधार नहीं आएगा

एक शोधकर्ता ने Android की ऐसी खामी के लिए काम करने वाला अटैक कोड जारी किया है, जिसका इस्तेमाल करके आपका नंबर जानने वाला कोई भी व्यक्ति सिर्फ एक टेक्स्ट मैसेज से आपका फोन क्रैश कर सकता है। “SMS of Death” नाम से मशहूर यह मैसेज आपके इनबॉक्स में दिखाई नहीं देता और इसे खोलने या टैप करने की भी जरूरत नहीं होती। यह Android के उस हिस्से को ठप कर देता है जो कॉल और मोबाइल सिग्नल संभालता है, जिससे उस वक्त चल रही कोई भी कॉल कट जाती है—यहां तक कि आपातकालीन सेवाओं को की जा रही कॉल भी। Google ने Android के मौजूदा संस्करणों के लिए इस खामी को ठीक कर दिया है, लेकिन जिन पुराने फोन को अब सुरक्षा अपडेट नहीं मिलते, वे इसकी चपेट में बने रहेंगे।

ज्यादातर लोगों के लिए सवाल सीधा है: क्या आपके फोन में सबसे नया सुरक्षा अपडेट इंस्टॉल है? यह खामी Android के मुख्य टेलीफोनी कोड में है, जिसे हर निर्माता अपने फोन में शामिल करता है, इसलिए यह किसी एक ब्रांड तक सीमित नहीं है। Mark B नाम से लिखने वाले शोधकर्ता का कहना है कि बिना सुधार वाले Google Pixel और Samsung Galaxy के कई फोन पर—सस्ते A-series मॉडल समेत—यह क्रैश हर बार दोहराया जा सका।

यह हमला WAP Push का इस्तेमाल करता है—मैसेज का एक पुराना प्रारूप, जिसके जरिए मोबाइल ऑपरेटर फोन को पृष्ठभूमि में सेटिंग भेजते हैं। गलत ढंग से बना मैसेज Android को मेमोरी की ऋणात्मक मात्रा आरक्षित करने की कोशिश करने पर मजबूर करता है, जिससे कॉल और सिग्नल संभालने वाली प्रक्रिया क्रैश हो जाती है। हर मैसेज के बाद पीड़ित का फोन एक-दो सेकंड के लिए सेवा से कट जाता है। असली नुकसान तब होता है, जब यह बार-बार किया जाए। मोबाइल ऑपरेटर उन मैसेज को फिर से भेजते रहते हैं जिनकी फोन ने पुष्टि नहीं की होती; शोधकर्ता के परीक्षणों में एक ही मैसेज से एक हफ्ते तक रुक-रुककर नेटवर्क सेवा बाधित हुई। ऐसे करीब 20 मैसेज के बाद फोन इस्तेमाल के लायक नहीं रहा।

खराब मैसेज कतार में भी बने रहते हैं और फोन हर बार चालू होने पर फिर से प्रोसेस किए जाते हैं। परीक्षण में Android 12 वाला एक फोन करीब हर 90 सेकंड में रीबूट होकर रिकवरी मोड में चला गया। इस चक्र से आम उपयोगकर्ता सिर्फ फैक्टरी रीसेट करके ही निकल सकता था, जिससे डिवाइस का सारा डेटा मिट जाता। Sakis नाम से जाने जाने वाले इस परियोजना के एक योगदानकर्ता ने केवल नुकसान पहुंचाने वाले मैसेज हटाने का तरीका खोजा, लेकिन इसके लिए कंप्यूटर, Android के डेवलपर टूल और हर रीबूट के बाद मिलने वाली छोटी-सी समय-सीमा में तेजी से काम करना जरूरी है।

शोधकर्ता इस खामी को ऑस्ट्रेलिया के Triple Zero आपातकालीन नंबर के संदर्भ में समझाते हैं और वहां इसके एक अजीब नतीजे की ओर ध्यान दिलाते हैं। ऑस्ट्रेलियाई नियमों के मुताबिक, मोबाइल ऑपरेटरों को ऐसे हैंडसेट पहचानने होते हैं जो आपातकालीन सेवाओं तक नहीं पहुंच सकते, और आखिरकार उनका नेटवर्क कनेक्शन काटना होता है। Telstra का कहना है कि अगर 28 दिनों के भीतर समस्या नहीं बदलती, तो वह ऐसे फोन को ब्लॉक कर देता है। शोधकर्ता के मुताबिक, अगर कोई हमलावर फोन से जब चाहे आपातकालीन कॉल न कर पाने की स्थिति पैदा कर सके, तो पीड़ित का अपना हैंडसेट नेटवर्क से प्रतिबंधित हो सकता है।

हालांकि, इस खतरे की कुछ सीमाएं हैं। यह सेवा बाधित करने वाला हमला है, फोन में सेंध लगाने वाला नहीं: मैसेज आपका डेटा नहीं पढ़ सकता, कोई चीज इंस्टॉल नहीं कर सकता और न ही फोन का नियंत्रण अपने हाथ में ले सकता है। हमलावर को आपका नंबर और कच्चे डेटा मैसेज भेजने का तरीका चाहिए। जारी किया गया टूल ये मैसेज सिम कार्ड वाले किसी दूसरे Android फोन से भेजता है, जिसका रिकॉर्ड मोबाइल ऑपरेटर के पास रहता है। अब तक किसी सार्वजनिक रिपोर्ट में इस खामी का असली लोगों के खिलाफ इस्तेमाल किए जाने का जिक्र नहीं है। BleepingComputer के मुताबिक, Google के अक्टूबर के सुरक्षा बुलेटिन में भी इस सुधार का उल्लेख नहीं है। इसका मतलब है कि पुराने फोन इस्तेमाल करने वालों को आधिकारिक तौर पर यह चेतावनी नहीं मिली कि वे जोखिम में हैं।

जांचने के लिए Settings खोलें, About phone या Security पर जाएं और Android security update की तारीख देखें। अक्टूबर 2026 या उसके बाद का कोई भी अपडेट यह सुधार शामिल करता है। Samsung, Motorola, Xiaomi और दूसरे निर्माता अपने-अपने समय पर पैच जारी करते हैं, और मोबाइल ऑपरेटर उन्हें रोक भी सकते हैं। इसलिए Android का नया संस्करण चलाने वाला फोन भी अपडेट का इंतजार कर रहा हो सकता है। Android 12 या 13 पर अटके फोन के लिए पूरी सुरक्षा का एकमात्र उपाय ऐसे डिवाइस पर जाना है जिसे अब भी अपडेट मिलते हैं।

शोधकर्ता ने 5 मई को Google के Android vulnerability reward program के तहत इस खामी की जानकारी दी थी। Google के एक इंजीनियर ने जून के मध्य में सुधार लिखा और इसे Android 14 से 17 के लिए अक्टूबर 2026 के सुरक्षा अपडेट में जारी किया गया। इस बारे में सार्वजनिक जानकारी और प्रूफ-ऑफ-कॉन्सेप्ट 29 अक्टूबर को सामने आए। Google ने शोधकर्ता के सुझाए गए लंबाई-जांच फीचर को शामिल नहीं किया: उसका पैच क्रैश को रोकता है और नुकसान पहुंचाने वाले मैसेज को मिटा देता है, ताकि वह दोबारा असर न कर सके।

इससे पुराने Android फोन एक अजीब स्थिति में रह जाते हैं। उन पर कॉल सामान्य रूप से हो जाती हैं। बस यह भरोसा नहीं किया जा सकता कि कॉल पूरी भी हो पाएगी।

टैग: Google, साइबर सुरक्षा, Android, Google Pixel, Samsung Galaxy, BleepingComputer