ثغرة «رسالة الموت» في أندرويد: ماذا تفعل CVE-2026-58882 وكيف تتأكد أن هاتفك محمي
روجعت المعلومات على نشرة أمان أندرويد من غوغل (نوفمبر ٢٠٢٦) وتقريري SmartScope وBorn City (٣ نوفمبر). هذه معلومات سلامة عامة وليست نصيحة أمنية شخصية.
في ٢ نوفمبر ٢٠٢٦ نشرت غوغل نشرة أمان أندرويد الشهرية، ومن بين ما أصلحته الثغرة CVE-2026-58882 بتصنيف حرِج: ثغرة «حجب خدمة» سمّاها كتّاب الأمن «رسالة الموت» (SMS of Death). وتذكر غوغل أن أندرويد ١٤ و١٥ و١٦ و١٧ متأثرة وقد أُصلحت.
الجواب المختصر: افتح الإعدادات > حول الهاتف > إصدار أندرويد وانظر إلى تحديث أمان أندرويد. إن كان التاريخ ١ نوفمبر ٢٠٢٦ أو بعده فالثغرة مُصلحة. وإن كان أقدم فاذهب إلى الإعدادات > النظام > تحديث البرامج (تختلف الأسماء حسب الشركة) وثبّت ما ينتظر. ولا تذكر النشرة إصلاحًا لأندرويد ١٣ أو ما قبله.
ماذا تفعل الثغرة
بحسب التقارير عن النشرة:
- رسالة نصية مشوّهة عمدًا (من نوع WAP push، وهو نوع يُستخدم عادة لرسائل الإعدادات والخدمة) تسبب فيضًا عدديًا وقراءة خارج الحدود في الجزء الذي يعالج الرسائل النصية في أندرويد (SmartScope، ٣ نوفمبر ٢٠٢٦).
- تتوقف عملية الهاتف (com.android.phone)، فـتنقطع المكالمات الجارية ومنها مكالمات الطوارئ، ونحو ٢٠ رسالة من هذا النوع قد تُدخل الهاتف في حلقة إعادة تشغيل (Born City، ٣ نوفمبر ٢٠٢٦).
- لا تحتاج أي نقرة ولا صلاحيات خاصة: يكفي أن تصلك الرسالة.
وما ليست عليه: تصف التقارير توقّفًا عن العمل (حجب خدمة)، لا سرقة بيانات ولا تحكّمًا عن بُعد. وحتى ٣ نوفمبر لم يجد SmartScope أي تقرير عن استغلالها، ولم تُبلغ غوغل عن استغلال ثغرات النشرة فعليًا.
من المتأثر
| إصدار أندرويد | الحالة في نشرة غوغل |
|---|---|
| أندرويد ١٧ و١٦ (ومنه QPR2) و١٥ و١٤ | متأثر، ومُصلح بمستوى تحديث 2026-11-01 أو بعده |
| أندرويد ١٣ وما قبله | لا إصلاح مذكور |
تصل التحديثات إلى هواتف Pixel أولًا عادةً، أما سامسونج وشاومي وون بلس وغيرها فتطرحها في مواعيدها، وكثيرًا ما يتأخر ذلك أسابيع. تحقّق من هاتفك بدل أن تفترض.
كيف تتحقق وتحدّث (دقيقتان)
١. الإعدادات > حول الهاتف (أو حول الجهاز) > إصدار أندرويد. ٢. اقرأ تحديث أمان أندرويد (أو «مستوى تصحيح الأمان»). ٣. 2026-11-01 أو بعده: أنت محمي من هذه الثغرة. ٤. أقدم من ذلك: الإعدادات > النظام > تحديث البرامج (سامسونج: الإعدادات > تحديث البرامج؛ Pixel: الإعدادات > الأمان والخصوصية > النظام والتحديثات). ثبّت ثم أعد التشغيل. ٥. تحقّق أيضًا من تحديث نظام Google Play في المكان نفسه.
إن كان هاتفك على أندرويد ١٣ أو أقدم: لا يوجد إصلاح مذكور. الخطر هنا انقطاع المكالمات وإعادة التشغيل لا سرقة البيانات، لكن الهاتف الذي توقفت تحديثاته الأمنية يجمع مع الوقت ثغرات كثيرة غير مُصلحة. إن كان هاتفك الأساسي فخطّط لتغييره، وأبقِ أرقام الطوارئ متاحة على جهاز آخر إن كنت تعتمد عليها.
لماذا رقم هاتفك جزء من «سطح الهجوم»
هذه الثغرة تصل إليك عبر شيء واحد: رقم هاتفك. كل من يعرفه يستطيع أن يرسل لك رسالة نصية. والأمر نفسه في احتيال تبديل الشريحة، والرسائل المزعجة والاحتيالية، وفي أن يجدك الناس عبر تطبيقات تجعل رقمك هويتك. لا يمكنك الاستغناء عن الرقم، لكن يمكنك مشاركته مع تطبيقات وأشخاص أقل. كتبنا عن ذلك في تطبيق اجتماعي بلا رقم هاتف.
أين يقف نديمي
نديمي هو التطبيق الذي نبنيه، فخذ هذا القسم بحذر. لا يستطيع أي تطبيق إصلاح ثغرة في أندرويد نفسه: حدّث هاتفك أولًا. ما يفعله نديمي هو أنه لا يستخدم رقم هاتفك إطلاقًا: تنضم ببريد إلكتروني، ويجدك الناس باسم المستخدم @، ولا يرى أحد في المجموعة رقمًا. وبلا ميزات ذكاء اصطناعي وبلا إعلانات. المحادثات مشفّرة على جهازك بتقنية MLS في النسخة التجريبية، ونصفها بأن «التشفير التام بين الطرفين قادم» حتى تُنشر مراجعة مستقلة. راجع ما الذي نراه وما لا نراه.
أسئلة شائعة
هل يستطيع أحد اختراق هاتفي بهذه الرسالة؟ تصف التقارير توقفًا يقطع المكالمات وقد يسبب إعادة التشغيل، لا وصولًا إلى بياناتك. ومع ذلك حدّث هاتفك، فالتعطيل قد يُستخدم لإزعاج شخص ما.
هل يحميني واتساب أو سيغنال؟ لا. الثغرة في معالجة الرسائل النصية داخل أندرويد، تحت كل التطبيقات. الحل هو تحديث أندرويد.
هل أوقف الرسائل النصية؟ لا يمكن عادة إيقاف استقبال الرسائل النصية تمامًا. التحديث هو الحل.
هاتفي يقول 2026-10-01. هل أنا معرّض؟ نعم إن كان يعمل بأندرويد ١٤ إلى ١٧. ثبّت تحديث نوفمبر حين تطرحه الشركة المصنّعة.
المصادر (روجعت في ٦ نوفمبر ٢٠٢٦)
- غوغل، نشرة أمان أندرويد، نوفمبر ٢٠٢٦ (نُشرت في ٢ نوفمبر ٢٠٢٦): https://source.android.com/docs/security/bulletin/2026/2026-11-01
- SmartScope، ثغرة حجب الخدمة عن بُعد في معالجة الرسائل CVE-2026-58882 (٣ نوفمبر ٢٠٢٦): https://smartscope.blog/en/blog/android-sms-of-death-cve-2026-58882-remote-dos-patch-level-2026-11-01-update-2026/
- Born City، نشرة أندرويد: ٢١٦ ثغرة منها ٢٣ حرجة (٣ نوفمبر ٢٠٢٦، بالألمانية): https://borncity.com/news/android-bulletin-216-sicherheitsluecken-darunter-23-kritische-fehler/
- نديمي، ما الذي نراه وما لا نراه: https://nadeemi.com/ar/what-we-can-see/
أسماء التطبيقات الأخرى علامات تجارية لأصحابها، وذُكرت للمقارنة فقط، ولا صلة لنديمي بأي منها.
كُتبت هذه المقالة بمساعدة الذكاء الاصطناعي وراجعها إنسان في التاريخ المذكور أعلاه.