안드로이드 제로클릭 문자 공격, 구형 기기는 패치 불가
TechRadar 원문 기준 · 원문 발행 2026.11.03
스마트폰 분류 사진보안 연구자 Mark Blah가 발견한 CVE-2026-58882는 변조된 8바이트 WAP 푸시 문자 메시지만으로 안드로이드의 com.android.phone 프로세스를 강제 종료시키는 제로클릭 취약점이다. 공격자가 특정 메시지 20개 이상을 반복 전송하면 기기가 재부팅 루프에 빠지고, 안드로이드 12 기기는 복구 모드를 반복하다 공장초기화 외에 해결책이 없는 상태에 이를 수 있다. 피해자는 메시지 알림조차 받지 못해 원인을 알기 어렵고, 통화 중단은 물론 긴급 통신에도 영향을 줄 수 있다고 한다. 구글은 10월 보안 업데이트로 안드로이드 14~17 버전을 패치했지만, 지원이 종료된 구형 기기는 영구적으로 취약한 상태로 남는다.
핵심
- 변조된 8바이트 WAP 푸시 SMS로 com.android.phone 프로세스가 크래시되며 수신 알림 없이 발생
- 20개 이상 메시지 반복 전송 시 재부팅 루프 유발, 안드로이드 12 기기는 복구 모드 반복으로 공장초기화 필요
- 구글이 안드로이드 14~17 버전에 10월 보안 업데이트로 패치, 지원 종료 기기는 패치 불가
- 삼성·샤오미·모토로라·원플러스 등 제조사별 업데이트 적용 시점은 더 늦어질 수 있음
원문 · TechRadar — This 'SMS of Death' exploit can remotely crash unpatched Android phones — without the user interacting with it in any way
원문을 Claude 가 요약·정리하고 코드 검사(원문에 없는 수치·상대 시점·루머 차단)를 통과한 글입니다. 영어 원문을 한국어로 옮겼습니다. 오류는 contact@qpx.kr.