Celah Keamanan Android Mampu Lumpuhkan HP Lewat SMS

Peneliti keamanan mengungkap celah bahaya pada sistem operasi Android yang memungkinkan peretas melumpuhkan fungsi telepon seluler secara jarak jauh tanpa interaksi pengguna (zero-click). Kerentanan yang dipicu oleh pengiriman pesan SMS WAP Push terformat khusus ini dapat memutuskan panggilan aktif, memutus akses layanan darurat, hingga membuat perangkat mati total secara permanen.

Bug Pembacaan Header SMS WAP Push

Kerentanan ini terjadi pada proses pemrosesan pesan WAP Push di dalam fungsi WapPushOverSms.decodeWapPdu(). Saat sistem Android menerima pesan WAP Push, panjang header WSP dibaca sebagai tipe data uintvar berukuran long. Namun, nilai tersebut langsung diubah menjadi tipe data int tanpa adanya pemeriksaan batas rentang (range check).

Pengubahan tipe data tanpa validasi tersebut menyebabkan alokasi ukuran array menjadi bernilai negatif, sehingga memicu pengecualian NegativeArraySizeException pada utas utama sistem telepon. Kondisi ini seketika menghentikan proses com.android.phone. Karena dikirim sebagai SMS data, pesan serangan ini tidak pernah muncul di kotak masuk dan nomor pengirim sama sekali tidak diketahui oleh korban.

Mematikan Layanan Telepon hingga Kerusakan Basis Data

Pengujian menunjukkan bahwa satu pesan terformat khusus mampu memutus panggilan suara yang sedang berlangsung, termasuk panggilan ke layanan darurat, dengan kode pemutusan CS_DEATH. Setiap kali pesan diterima, sistem telepon mengalami pemadaman sinyal selama satu hingga dua detik saat proses com.android.phone memuat ulang. Mekanisme pengiriman ulang otomatis dari operator seluler turut memperparah dampak ini, di mana satu pesan dapat memicu gangguan intermiten hingga satu minggu.

Dampak akan jauh lebih parah jika peretas mengirimkan sekitar 30 pesan secara bertubi-tubi. Proses penghentian sistem yang berulang akan bertabrakan dengan proses penulisan data SMS ke dalam penyimpanan internal, sehingga merusak basis data SQLite perangkat. Kerusakan basis data ini membuat aplikasi telepon mengalami crash terus-menerus setiap kali ponsel dinyalakan ulang (boot loop), membuat perangkat tidak dapat digunakan sama sekali.

Proses pemulihan perangkat yang terdampak sangat rumit. Pengguna tidak cukup melakukan pemulihan ke setelan pabrik (factory reset) karena operator seluler akan kembali mengirimkan pesan yang tersimpan di server. Pemulihan membutuhkan pemindahan Kartu SIM fisik ke perangkat non-Android, seperti iPhone, guna menghentikan pengiriman ulang pesan dari operator, lalu dilanjutkan dengan menghapus basis data yang rusak melalui perintah ADB. Bagi pengguna kartu eSIM, pemulihan perangkat yang lumpuh hampir tidak mungkin dilakukan oleh pengguna awam.

Bahaya Layanan Darurat dan Penolakan Laporan oleh Google

Serangan ini dinilai sangat kritis karena menghalangi akses pengguna ke nomor darurat, seperti layanan 000 di Australia. Berdasarkan regulasi Telecommunications (Emergency Call Service) Determination yang diawasi ACMA di Australia, operator seluler seperti Telstra diwajibkan memblokir perangkat yang tidak dapat terhubung ke layanan darurat jika masalah tidak diselesaikan dalam 28 hari. Regulasi ini berisiko membuat perangkat korban terblokir sepenuhnya dari jaringan seluler.

Meskipun peneliti telah melaporkan masalah ini ke program Android VRP sejak 5 Mei 2026 dan memberikan solusi berupa satu baris kode perbaikan, Google berulang kali menutup laporan tersebut. Setelah dievaluasi oleh empat insinyur dalam tiga tiket terpisah, Google secara resmi menetapkan pada 29 Oktober 2026 bahwa masalah ini tidak memenuhi ambang batas keparahan dan mengategorikannya sebagai isu non-keamanan (Non-Security Issue).

Karena laporan ditolak dan batas waktu pengungkapan 90 hari telah terlampaui, peneliti akhirnya mempublikasikan kode sumber dan aplikasi proof-of-concept (PoC) di GitHub agar pengguna, operator, dan produsen perangkat dapat mengantisipasi risikonya. Peneliti menegaskan bahwa alat tersebut dipublikasikan khusus untuk riset keamanan serta pengujian defensif, dan mengingatkan bahwa penggunaan alat tersebut terhadap perangkat lain merupakan tindakan kriminal.