هشدار: بسیاری از گوشی‌های وان پلاس در خطر آسیب‌پذیری بزرگ از طریق SMS هستند

جزئیات آسیب‌پذیری بزرگ SMS در گوشی‌های وان پلاس

اوایل این هفته، شرکت امنیت سایبری Rapid7 فاش کرد که گوشی‌های وان پلاس با این نسخه‌های OxygenOS دارای یک نقص امنیتی بزرگ هستند که می‌تواند به برنامه‌های مخرب اجازه دهد بدون اجازه، تعامل یا رضایت کاربر، به داده‌های پیامک و محتوای چندرسانه‌ای گوشی دسترسی پیدا کنند.

این شرکت همچنین اعلام کرده که کاربر از دسترسی به داده‌های پیامک مطلع نمی‌شود که می‌تواند منجر به افشای اطلاعات حساس او شود و عملاً امنیت ارائه شده توسط بررسی‌های احراز هویت چند مرحله‌ای مبتنی بر پیامک (MFA) را نقض می‌کند.

Rapid7 این آسیب‌پذیری را روی مدل‌های مختلف گوشی‌های وان پلاس و نسخه‌های مختلف OxygenOS آزمایش و تأیید کرده است. این نقص امنیتی با شماره CVE-2025-10184 شناسایی شده و طبق گفته Rapid7، از زمان OxygenOS 12 ایجاد شده است، زیرا نسخه‌های OxygenOS 11 که تست شده‌اند، درگیر این مشکل نبوده‌اند.

اگرچه Rapid7 اعلام کرده که این نقص به نظر نمی‌رسد مربوط به سخت‌افزار باشد، اما اثرات بالقوه آن شدید ارزیابی شده زیرا بخش اصلی سیستم‌عامل اندروید را تحت تأثیر قرار می‌دهد و دستگاه‌های وان‌پلاس غیر از 8T یا 10 پرو 5G که از OxygenOS 12 و 14 یا 15 استفاده می‌کنند نیز ممکن است در معرض این خطر باشند.

Rapid7 برای اولین بار در تاریخ 11 اردیبهشت‌ماه با وان‌پلاس تماس گرفت تا در مورد این مسئله گفتگو کند و از آن زمان تا افشای عمومی یافته‌ها در اول مهرماه چندین بار با وان‌پلاس و اوپو رایزنی کرد. یک روز بعد، وان‌پلاس به Rapid7 پاسخ داد و تأیید کرد که شرکت در حال بررسی این مشکل است.

وان‌پلاس به Rapid7 نگفته است که چه اقداماتی انجام خواهد داد، اما در بیانیه‌ای که بعداً با 9to5Google به اشتراک گذاشته شد، یک سخنگوی وان پلاس گفت:

ما افشای اخیر CVE-2025-10184 را تأیید می‌کنیم و یک رفع مشکل را اجرا کرده‌ایم. این به‌روزرسانی از اواسط اکتبر به صورت جهانی از طریق آپدیت نرم‌افزاری ارائه خواهد شد. وان‌پلاس متعهد به حفاظت از داده‌های مشتریان است و به بهبود مستمر امنیت ادامه خواهد داد.

پس کاربران دستگاه‌های وان‌ پلاس آسیب‌پذیر تا زمان عرضه این به‌روزرسانی در اواسط اکتبر چه اقداماتی می‌توانند انجام دهند؟ کارشناسان Rapid7 به کاربران این دستگاه‌ها توصیه کرده‌اند:

• فقط برنامه‌ها را از منابع معتبر نصب کنید و تمامی برنامه‌های غیرضروری را حذف نمائید. این کار از دسترسی برنامه‌های غیرمطمئن به داده‌های پیامک و پیام چندرسانه‌ای جلوگیری می‌کند.
• بررسی کنید که چه سرویس‌های شخص ثالثی از احراز هویت چندمرحله‌ای مبتنی بر پیامک استفاده می‌کنند و در صورت امکان به جای آن‌ها از برنامه‌های احراز هویت استفاده کنید. این کار از ارسال اطلاعات حساس به دستگاه شما از طریق پیامک جلوگیری می‌کند.
• برای افزایش حریم خصوصی پیام‌ها، می‌توانید از پیام‌رسان‌های رمزگذاری شده end-to-end به جای پیامک استفاده کنید. این کار نیز باعث کاهش ارسال اطلاعات حساس از طریق پیامک خواهد شد.
• برای سرویس‌های شخص ثالثی که اعلان‌های مبتنی بر پیامک ارسال می‌کنند، ممکن است امکان تغییر به اعلان‌های درون‌برنامه‌ای وجود داشته باشد. این کار نیز از ارسال اطلاعات حساس از طریق پیامک جلوگیری می‌کند.