SMS of Death Android: ข้อความเดียวตัดสาย โค้ดทดสอบออกแล้ว Android 12–13 ไม่มีแพตช์
SMS of Death Android คือช่องโหว่ CVE-2026-58882 ที่ทำให้สายหลุดและเครื่องบูตวนโดยผู้ใช้ไม่ต้องกด โค้ดทดสอบเผยแพร่แล้ว แพตช์ ต.ค. 2026 มีเฉพาะ Android 14–17
โดย กองบรรณาธิการ THAI DATA อ่าน 4 นาที
สรุปประเด็นสำคัญ
- นักวิจัย Mark Blah เปิดเผยช่องโหว่ SMS of Death Android พร้อมโค้ดทดสอบเมื่อ 29 ตุลาคม 2026 ข้อความ WAP Push เพียงข้อความเดียวทำให้บริการ com.android.phone ล่ม โดยผู้ใช้ไม่ต้องแตะอะไรและไม่เห็นข้อความ
- BleepingComputer ระบุรหัส CVE-2026-58882 สายที่กำลังคุยหลุดทันที รวมสายฉุกเฉิน และสัญญาณหาย 1–2 วินาที ต่อข้อความ
- ผู้วิจัยรายงานว่าราว 20 ข้อความทำให้เครื่องใช้ไม่ได้ และบน Android 12 เครื่องบูตเข้า recovery ทุกราว 90 วินาที จนต้องล้างเครื่องหรือใช้ ADB
- แพตช์ออกในรอบ ตุลาคม 2026 สำหรับ Android 14–17 ส่วน Android 12 และ 13 ไม่ได้รับ และประกาศ Android Security Bulletin ตุลาคมไม่ได้ระบุ CVE นี้
นักวิจัย Mark Blah เปิดเผยช่องโหว่ SMS of Death Android เมื่อวันที่ 29 ตุลาคม 2026 พร้อมโค้ดทดสอบที่ใช้งานได้จริง ข้อความ WAP Push ที่สร้างขึ้นเป็นพิเศษทำให้บริการโทรศัพท์ของเครื่องล่ม สายที่กำลังคุยหลุดทันที รวมสายฉุกเฉิน โดยเจ้าของเครื่องไม่ต้องกดอะไร ผู้ใช้ Android ในไทยควรตรวจวันที่แพตช์วันนี้ เพราะแพตช์รอบตุลาคม 2026 ครอบคลุมแค่ Android 14–17
BleepingComputer ระบุรหัสช่องโหว่นี้ว่า CVE-2026-58882 จุดที่น่ากังวลคือข้อความถูกประมวลผลก่อนถึงกล่องข้อความ เหยื่อจึงไม่เห็นเลขผู้ส่งและไม่รู้ว่าเครื่องล่มเพราะอะไร ผู้โจมตีใช้เพียงเบอร์โทรศัพท์ของเป้าหมาย
เรายังไม่พบรายงานว่า SMS of Death Android ถูกใช้โจมตีผู้ใช้จริง แต่โค้ดทดสอบที่เปิดสาธารณะทำให้ความเสี่ยงสูงขึ้น บทความนี้จึงไม่ลงรายละเอียดของข้อความโจมตี และเน้นวิธีตรวจกับการรับมือ
SMS of Death Android ทำอะไรกับโทรศัพท์
จุดบกพร่องของ SMS of Death Android อยู่ในฟังก์ชันที่ถอดรหัสข้อความ WAP Push ซึ่งแปลงค่าความยาวส่วนหัวโดยไม่ตรวจขอบเขต เมื่อค่าที่ส่งมาผิดรูปแบบ แอประบบ com.android.phone ก็ล่ม ผลที่ผู้วิจัยรายงานมีดังนี้
| ผลกระทบตามรายงานของผู้วิจัย | รายละเอียด |
|---|---|
| ต่อข้อความ | สัญญาณหาย 1–2 วินาที และสายที่กำลังคุยหลุด |
| ข้อความเดียวที่เครือข่ายส่งซ้ำ | ทำให้เครื่องขาดสัญญาณเป็นช่วง ๆ นานถึงราว 1 สัปดาห์ในการทดสอบ |
| ราว 20 ข้อความ | เครื่องใช้งานไม่ได้เป็นเวลานาน |
| กรณีบูตวนบน Android 12 | เครื่องเข้า recovery ทุกราว 90 วินาที |
| รุ่นที่ทดสอบ | Pixel 9 และ Samsung Galaxy หลายรุ่น ทำซ้ำได้ทุกครั้ง |
ตัวเลขเหล่านี้มาจากการทดสอบของผู้วิจัยคนเดียว ยังไม่มีหน่วยงานอิสระหรือ Google ยืนยันขอบเขตทั้งหมด
เหตุที่บูตวนคือข้อความที่ค้างอยู่ในคิวรับเข้าถูกประมวลผลซ้ำทุกครั้งที่เปิดเครื่อง Android จึงพาเครื่องเข้าโหมดกู้คืน ผู้วิจัยมองว่าผู้ใช้ทั่วไปจะถูกบีบให้ล้างเครื่อง แม้ผู้ร่วมพัฒนาบน GitHub พบวิธีลบเฉพาะข้อความที่ค้างผ่าน ADB ในช่วงสั้น ๆ หลังบูตโดยไม่ต้องล้างเครื่อง
แพตช์ SMS of Death Android อยู่ตรงไหน
Google แก้ด้วย commit ที่ชื่อว่า "Fix remote DoS in decodeWapPdu" ซึ่งดักข้อผิดพลาดตอนถอดรหัสและลบข้อความที่ทำให้ล่มออกจากฐานข้อมูล ผู้วิจัยบอกว่าการแก้นี้ออกกับแพตช์ความปลอดภัยรอบตุลาคม 2026 สำหรับ Android 14 ถึง 17
ข้อที่ต้องระวังคือ CVE-2026-58882 ไม่อยู่ในรายการ Android Security Bulletin เดือนตุลาคม 2026 ซึ่งเราเปิดตรวจแล้ว BleepingComputer ก็ระบุเรื่องนี้ตรงกัน ผู้ดูแลที่ไล่ดูตาม bulletin จึงอาจไม่เห็น SMS of Death Android เลย
ลำดับเหตุการณ์ตามหน้าเปิดเผยของผู้วิจัยและ commit มีดังนี้
| วันที่ | เหตุการณ์ |
|---|---|
| 5 พฤษภาคม 2026 | รายงานให้โครงการ Android & Devices VRP |
| 15 มิถุนายน 2026 | วิศวกร Google เขียน commit แก้ไข |
| ตุลาคม 2026 | แพตช์ออกสำหรับ Android 14–17 |
| 29 ตุลาคม 2026 | ผู้วิจัยเปิดเผยรายละเอียดและโค้ดทดสอบ |
ทำไมเรื่องนี้สำคัญ
ผลกระทบที่หนักที่สุดของ SMS of Death Android ไม่ใช่การขโมยข้อมูล แต่คือการตัดคนออกจากการติดต่อ หน้าเปิดเผยของผู้วิจัยจัดให้เป็นการโจมตีแบบ denial of service ไม่ได้พูดถึงการอ่านข้อมูลในเครื่อง แต่สายฉุกเฉินที่หลุดและเครื่องที่บูตวนกระทบความปลอดภัยของคนโดยตรง
สำหรับองค์กร งานที่พึ่งโทรศัพท์ เช่น ทีมภาคสนาม ขนส่ง รับส่งรหัส OTP หรือเวรฉุกเฉิน มีความเสี่ยงต่อการหยุดชะงักแม้ไม่มีข้อมูลรั่ว และเครื่องรุ่นเก่าที่ยังค้างอยู่ใน Android 12 หรือ 13 ไม่มีแพตช์ให้
เรื่อง SMS of Death Android ยังมีคำถามที่ไม่มีคำตอบ ผู้ผลิตแต่ละรายปล่อยแพตช์ไม่พร้อมกัน BleepingComputer ระบุว่าการได้รับอัปเดตขึ้นกับผู้ผลิตและผู้ให้บริการเครือข่าย และเรายังไม่พบคำชี้แจงจากผู้ให้บริการเครือข่ายในไทยว่ากรองข้อความประเภทนี้หรือไม่
สิ่งที่องค์กรและผู้ใช้ควรทำกับ SMS of Death Android
- ตรวจวันที่แพตช์ เปิดการตั้งค่าแล้วดู Android security update ควรเป็นตุลาคม 2026 หรือใหม่กว่า
- อัปเดตทันทีที่มี แล้วรีสตาร์ตเครื่องให้ครบขั้นตอน
- ทำบัญชีเครื่อง Android 12 และ 13 ในองค์กร แล้ววางแผนเปลี่ยนเครื่องที่ใช้งานสำคัญก่อน เพราะรุ่นเหล่านี้ไม่ได้รับแพตช์
- ถ้าใช้ MDM ให้ตั้งเกณฑ์วันที่แพตช์ขั้นต่ำ และไม่อาศัย bulletin อย่างเดียว เพราะ CVE นี้ไม่อยู่ในรายการ
- เตรียมทางสำรองให้งานสำคัญ เช่น ช่องทางติดต่อผ่านข้อมูลหรือเบอร์สำรองสำหรับเวรฉุกเฉิน
- ถ้าเครื่องบูตวน อย่าเพิ่งเลือก wipe data ให้พาไปหาฝ่ายไอทีหรือช่างที่ใช้ ADB เป็นก่อน
บริการของ THAI DATA CLOUD ที่เกี่ยวข้อง
งานตามแพตช์โทรศัพท์และเครื่องของพนักงานมักถูกปล่อยไว้ในองค์กรไทยที่ฝ่ายไอทีมีคนน้อย บริการ IT Support ของ THAI DATA CLOUD ดูแลผู้ใช้และเครื่องของพนักงาน แจ้งปัญหาผ่าน Ticket ที่ตรวจสอบได้ โดยทีมไทย 24x7 ซึ่งช่วยรับเรื่องจากผู้ใช้เมื่อเครื่องมีปัญหา (THAI DATA CLOUD เป็นผู้ดำเนินงานเว็บไซต์นี้)
ติดตามข่าวช่องโหว่ล่าสุดได้ที่หมวด Security
ภาพบันทึก
คำถามที่พบบ่อย
SMS of Death Android คืออะไร?
SMS of Death Android คือช่องโหว่ CVE-2026-58882 ในส่วน telephony ของ Android ข้อความ WAP Push ที่ถูกสร้างขึ้นทำให้บริการ com.android.phone ล่ม สายที่กำลังคุยหลุด รวมสายฉุกเฉิน โดยผู้ใช้ไม่ต้องกดอะไรและไม่เห็นข้อความในกล่องข้อความ
โทรศัพท์ Android รุ่นไหนได้รับผลกระทบจาก SMS of Death?
ผู้วิจัยระบุว่าโค้ดที่มีปัญหาอยู่ใน Android 12 ถึง 17 ทำซ้ำได้จริงตั้งแต่ Android 12 ถึง 16 และทดสอบกับ Pixel 9 กับ Samsung Galaxy หลายรุ่น เครื่องที่มีแพตช์รอบตุลาคม 2026 ขึ้นไปจะปลอดภัย ส่วน Android 12 และ 13 ไม่ได้รับแพตช์
เช็กอย่างไรว่า Android ของเราปลอดภัยจาก SMS of Death?
เปิดการตั้งค่า แล้วดูวันที่ของ Android security update ในหน้าข้อมูลเครื่อง ถ้าเป็นเดือนตุลาคม 2026 หรือใหม่กว่า ผู้วิจัยระบุว่าได้รับการแก้แล้ว เมนูแต่ละยี่ห้ออาจเรียกต่างกัน และกำหนดการปล่อยแพตช์ขึ้นกับผู้ผลิตและเครือข่าย
ถ้าโทรศัพท์บูตวนเพราะ SMS of Death ต้องทำอย่างไร?
ผู้วิจัยเตือนว่าอย่าเพิ่งเลือก wipe data ในหน้า recovery เพราะข้อความที่ค้างอยู่ในคิวลบได้ผ่าน ADB ซึ่งต้องใช้คอมพิวเตอร์และความรู้เทคนิค ผู้ใช้ทั่วไปควรพาเครื่องไปให้ช่างหรือฝ่ายไอทีช่วย ก่อนตัดสินใจล้างเครื่อง
แหล่งอ้างอิง
- SMS of Death: zero-click Android telephony DoS — Mark B
- New Android SMS of Death exploit can remotely crash unpatched phones — BleepingComputer
- RESTRICT AUTOMERGE: Fix remote DoS in decodeWapPdu (b/517376969) — Android Open Source Project
- Android Security Bulletin—October 2026 — Android Open Source Project
บุคคล องค์กร และสถานที่ในข่าวนี้
เลือกชื่อเพื่ออ่านข่าวทั้งหมดที่กล่าวถึง ตัวเลขคือจำนวนข่าว
- ผลิตภัณฑ์และเทคโนโลยี
- Android65
พบข้อมูลคลาดเคลื่อน? แจ้งกองบรรณาธิการ