분석

무음 SMS가 Android의 전화 프로세스를 멈출 수 있다: 'SMS of Death'에 대해 알려진 것

코드 실행이 아니라 서비스 거부 결함이다. 무음 SMS가 Android를 멈춘다는 연구자의 보고와 Google 코드가 보여 주는 것.

작성: Audryk · 2026년 11월 1일

• #Android
• #SMS
• #WAP Push
• #제로클릭
• #서비스 거부
• #Google

2026년 11월 1일 기준으로 "SMS of Death"는 발견자에 의해 제로클릭 서비스 거부로 설명된다. 무음 데이터 SMS가 Android의 전화 프로세스를 멈추고 통화가 끊긴다. 코드 실행이나 데이터 탈취는 보고되지 않았다. 수정은 Android 코드에 존재하지만 배포 상황은 출처마다 엇갈리며, 제조사의 성명은 찾지 못했다.

핵심 요약

• 정체: 연구자에 따르면 WAP Push 데이터 SMS를 통한 제로클릭 서비스 거부이며 알림은 뜨지 않는다.
• 영향(연구자 주장): 통화 끊김, 통신사의 재전송, 때로는 충돌 반복.
• 수정: 2026년 6월 15일자 Google 커밋이 존재하지만, 보고는 비보안으로 분류된 것으로 전해지며 CVE는 없다.
• 불확실한 점: 배포 상태는 출처마다 다르며, 제조사의 성명은 찾지 못했다.

SMS 한 통이 어떻게 전화를 멈추나?

연구자 Mark Blaszczyk(Cyber Kendra가 이름을 밝혔다)에 따르면 버그는 Android 텔레포니 프레임워크의 일부인 WapPushOverSms에 있다. decodeWapPdu() 함수는 WSP 헤더 길이를 가변 길이 정수(long)로 읽고, 범위 검사 없이 32비트 int로 변환한다. 5바이트로 인코딩된 값은 -2,147,483,648이 된다. 이 크기의 배열을 할당하면 NegativeArraySizeException이 발생하는데 이를 잡는 곳이 없어 com.android.phone 프로세스가 종료된다. 우리는 페이로드를 싣지 않는다.

"제로클릭"은 전화번호만으로 충분하다는 뜻이다. 데이터 SMS는 WAP Push 포트로 간다. 알림은 뜨지 않고, 메시지 앱에는 도달하지 않으며, 발신자도 표시되지 않는다.

아래 연쇄는 연구자의 설명이다.

출처: smsofdeath.com, Cyber Kendra(2026년 10월). 연구자의 설명이며 우리는 재현하지 않았다.

영향은 어떻고, 누가 해당하나?

아래 수치는 모두 연구자의 것이며 검증되지 않았다. 메시지 한 통마다 이동통신 서비스가 1~2초 끊기고, 긴급 통화를 포함해 진행 중인 통화가 종료된다. 단말기는 메시지를 확인 응답하기 전에 충돌하므로 통신사가 다시 보낸다. 연구자의 테스트에서 메시지 한 통은 최대 일주일 동안 간헐적인 끊김을 일으켰고, 약 20통은 단말기를 오랫동안 쓸 수 없게 만들었다. 약 30통을 빠르게 연달아 보내면 SMS SQLite 데이터베이스가 손상될 수 있으며, 그 뒤에는 프로세스가 시작할 때마다 충돌한다. 통신사가 대기 중인 페이로드를 다시 보내므로 공장 초기화로도 이 순환은 끊어지지 않는다.

그는 고급 사용자에게만 해당하는 복구 방법을 설명하는데, 우리는 자세히 다루지 않는다. 또한 eSIM이면 훨씬 어려워진다고 말한다.

그는 Pixel 9(2026년 4월 펌웨어)와 여러 Samsung Galaxy 및 A 시리즈에서 매번 재현된다고 보고한다. 연구자의 페이지는 해당 코드로 Android 12~17을 꼽는다. Cyber Kendra에 따르면 개념 증명 코드는 GitHub에 공개되어 있다(Apache 2.0). 우리는 링크를 걸지 않는다. Cyber Security News는 Android 17의 2G 폴백 및 "SMS blasters" 방어가 이 결함을 다루지 않는 것으로 보인다고 덧붙인다. 코드 실행, 데이터 탈취, 실제 악용을 보고하는 출처는 없다.

무엇이 수정되었나?

아래 순서는 연구자, Cyber Kendra, Android 소스를 종합한 것이다.

출처: AOSP, 2026년 10월 Android 보안 공지, Cyber Kendra, smsofdeath.com. 배포 날짜는 출처마다 엇갈린다.

연구자는 5월 5일 Google의 보상 프로그램에 버그를 신고했으며 같은 날 범위 검사 수정안을 제출했다고 말한다. 6월 20일 사건은 Won't Fix (Infeasible)로 종료되었고, 이의 신청은 재현되지 않는다는 이유로 3분 만에 종료되었다고 Cyber Kendra는 전한다. 10월 29일, 3개월의 침묵 끝에 Google은 이 버그가 "does not meet the severity threshold"라고 판단했다(Cyber Kendra). 비보안 분류이며 CVE는 없다. 이후 연구자는 세부 내용을 공개했다. Cyber Kendra는 Google이 2009년에 거의 같은 WAP Push 버그를 보안 결함으로 다루었다(CVE-2009-2999)는 점도 짚는다.

코드는 다른 이야기를 한다. AOSP 커밋 735d967(platform/frameworks/opt/telephony)("Fix remote DoS in decodeWapPdu")은 Thomas Nguyen의 것으로, 2026년 6월 15일에 작성되어 8월 5일 해당 브랜치에 커밋되었다. WAP Push 디코딩과 전달 과정에서 RuntimeException을 잡아 경고를 기록하고, 충돌하는 대신 메시지를 버린다. 연구자가 제안한 범위 검사가 아니다. 면제로 표시되어 있으며 CVE_FIX 플래그가 붙어 있다.

10월 5일에 게시된 2026년 10월 Android 보안 공지(패치 수준 2026-10-01)에는 SMS, MMS, PduParser, WAP Push를 언급하는 항목이 없다. 그렇다고 수정이 없다는 뜻은 아니다.

배포에 대해 연구자의 페이지는 수정이 Android 14~17용 2026년 10월 업데이트로 나갔으며, 업데이트 기간이 지난 Android 12와 13은 받지 못한다고 말한다. 우리는 이를 검증하지 못했다. 반면 Cyber Kendra는 수정을 2026년 11월 보안 공지에 두지만, 그 공지는 11월 1일 시점에 열람할 수 없었다(404).

어떻게 해야 하나?

제조사가 제공하는 대로 보안 업데이트(2026년 10월 이후)를 설치하라. 출처들의 조언이다. 결함을 재현하려 하지 마라. 전화가 충돌을 반복하면 제조사나 통신사에 문의하라. 어떤 업데이트도 면역을 보장하지 않는다.

비교 표

자주 묻는 질문

이 SMS로 내 전화가 해킹될 수 있나?

공개된 내용에 따르면 아니다. 서비스 거부이며 코드 실행, 데이터 탈취, 실제 악용은 보고되지 않았다.

나는 보호받고 있나?

연구자는 수정이 Android 14~17용 2026년 10월 업데이트로 나갔다고 말하지만, 우리는 독립적으로 검증하지 못했다. 최신 업데이트를 설치하라. 그의 설명으로는 Android 12와 13은 대상이 아니다.

왜 CVE가 없나?

Cyber Kendra에 따르면 Google은 이 버그를 비보안으로 분류했다. 그럼에도 커밋에는 CVE_FIX 플래그가 붙어 있다. 우리는 이 문제를 단정하지 않는다.

방법과 한계

우리는 아래 다섯 출처를 모두 2026년 11월 1일에 읽었으며 결함을 재현하지 않았다. 영향의 세부 내용과 테스트된 기종은 연구자의 것이며 검증되지 않았다. Google(커밋 제외)이나 제조사의 성명은 찾지 못했다. 11월 보안 공지는 열람할 수 없었고, 배포에 대해 출처들의 설명이 엇갈린다.

출처

• smsofdeath.com: 연구자의 페이지 (확인일: 2026-11-01)
• Cyber Kendra: SMS of Death, Android WAP Push zero-click, 2026년 10월 (확인일: 2026-11-01)
• Cyber Security News: zero-click Android vulnerability, 2026년 10월 29일 (확인일: 2026-11-01)
• AOSP: platform/frameworks/opt/telephony의 수정 커밋 735d967 (확인일: 2026-11-01)
• Android 보안 공지, 2026년 10월 (확인일: 2026-11-01)

이 기사에서 오류를 발견하셨나요? 제보하기 · 정정 정책