رسالة SMS واحدة تُسقط اتصال هواتف Android بالشبكة، بما فيها مكالمات الطوارئ، بسبب تحويل رقم دون فحص

نشر باحث أمني في 29 أكتوبر 2026 تفاصيل ثغرة في نظام Android تجعل رسالة SMS واحدة تقطع الهاتف عن الشبكة، دون أن يضغط المستخدم على أي شيء، ودون أن يرى الرسالة أصلًا. وكان الباحث قد أبلغ عنها برنامج Android VRP في 5 مايو 2026.

ويقع الخلل في طريقة تعامل النظام مع نوع من الرسائل يسمى WAP Push. فالكود يقرأ طول الـ header كرقم من نوع long، ثم يحوّله إلى int دون التأكد من أنه داخل المدى المسموح، ويستخدم الناتج مباشرة حجمًا لمصفوفة. وقيمة كبيرة بما يكفي تتحول عند هذا التحويل إلى رقم سالب، فيحاول النظام إنشاء مصفوفة بحجم سالب، ويرمي خطأ NegativeArraySizeException داخل الـ thread الرئيسي، فتتوقف عملية com.android.phone المسؤولة عن الاتصال.

والنتيجة أن المكالمة الجارية تنقطع، بما فيها مكالمات الطوارئ. ولا تُسجَّل الرسالة في الـ inbox، ولا يظهر رقم المرسل. والأخطر أن الرسالة تبقى في الطابور وتُعالَج من جديد بعد كل إعادة تشغيل، فقد يدخل الهاتف في دورة إعادة تشغيل كل 90 ثانية تقريبًا، حتى يضطر صاحبه إلى factory reset.

وبحسب صفحة الإفصاح، جُرّبت الثغرة على Pixel 9 وعلى أجهزة Samsung Galaxy وسلسلة A، ونجحت في كل مرة.

والإصلاح سطر واحد يفحص المدى قبل التحويل، وهو موجود في تحديث Android الأمني لشهر أكتوبر 2026 بحسب صفحة الإفصاح، إذ لم يتسنَّ التحقق من النشرة الرسمية مباشرة. وهذا يجعل الحماية مسألة تحديث لا أكثر، لكن هواتف سلسلة A المنتشرة في المنطقة تصلها التحديثات عادة متأخرة، فيبقى جزء كبير منها مكشوفًا حتى يصلها تحديث أكتوبر.