특수하게 조작된 SMS를 전송하는 것만으로 안드로이드 스마트폰의 통신 기능을 마비시키고, 심한 경우 무한 재부팅까지 유발할 수 있는 보안 취약점이 발견됐다.
'SMS of Death'로 불리는 이번 취약점은 CVE-2026-58882로 등록됐으며, 사용자가 메시지를 열거나 별도의 링크를 클릭하지 않아도 공격이 가능한 제로클릭(Zero-click) 방식이라는 점에서 주의가 요구된다.
문제는 안드로이드 운영체제의 WAP Push 메시지 처리 과정에서 발생한다. WAP Push는 이동통신망을 통해 특정 데이터를 전달하는 메시지 방식으로, 안드로이드가 조작된 메시지에 포함된 비정상적인 데이터를 제대로 검증하지 못하면서 통신 기능을 담당하는 시스템 프로세스가 강제로 종료되는 취약점인 것.
이로 인해 일반 전화는 물론 긴급전화까지 끊길 수 있으며, 악성 메시지가 반복적으로 처리될 경우 시스템이 정상적으로 작동하지 못하는 상황도 발생할 수 있다.
취약점을 발견한 보안 연구원 Mark Blaszczyk은 구글 픽셀과 삼성 갤럭시 스마트폰에서 공격을 재현했으며, 일부 기기에서는 약 20개의 악성 메시지만으로 반복적인 재부팅이 발생하는 현상을 확인했다. 특히 안드로이드 12 기반 기기에서는 약 90초 간격으로 재부팅이 반복되면서 공장 초기화가 필요한 상황까지 발생한 것으로 알려졌다.
이번 취약점은 안드로이드 12부터 영향을 미치는 것으로 알려졌으며, 구글은 관련 수정 코드를 개발해 보안 업데이트에 반영했다. 다만 제조사와 기기별 업데이트 제공 시점이 다른 만큼 실제 수정 사항의 적용 여부는 확인이 필요하다.
한편 취약점을 제보한 연구원은 구글이 초기 신고 과정에서 해당 문제를 보안 취약점으로 인정하지 않았다고 주장했다. 구글은 지난 6월 이미 수정 코드를 개발한 것으로 확인됐지만, 공식 보안 공지에 취약점이 명시되는 시점과 실제 수정 코드 배포 시점에 차이가 있어 대응 과정에 대한 논란도 제기됐다. |
