セキュリティ2026/11/04 0:53 UTC·2 分で読めます

Android「SMS of Death」脆弱性、1通のSMSで通信を遮断

Androidのゼロクリック脆弱性CVE-2026-58882は、細工した1通のSMSで通信を切断し、端末を再起動ループに陥らせる。実証コードも公開済みだ。

A smartphone with a cracked screen showing a no-signal icon and an incoming text message warning. — 画像: عالم التقنية

SUMO：数字パズル

Dialo：話して学ぶ語学アプリ

ediviewer：EDIファイルを文書のように読む

セキュリティ研究者のマーク・ブラー氏が、Androidの脆弱性「SMS of Death」(CVE-2026-58882)を公表した。細工した1通のSMSを送るだけで、攻撃者は遠隔から携帯電話の通信を遮断したり、端末を動作不能にしたりできる。同氏は実際に動作する概念実証(PoC)も公開している。

これはユーザーの操作が不要な「ゼロクリック」型の攻撃だ。緊急通報を含む通話中の電話が切断される。悪意あるメッセージは受信トレイに届く前にシステムが処理するため、被害者は不具合の原因に気づきにくい。

仕組みと影響

原因は、WapPushOverSms.decodeWapPdu関数でヘッダー長の値が検証されていない点にある。攻撃者は8バイトの不正なWAP Pushメッセージをデータメッセージとしてポート2948に送ればよい。値が負の数に変換されるとメモリ確保が失敗し、携帯通信機能を担うcom.android.phoneプロセスがクラッシュして、ネットワークとの接続が切れる。

研究者によると、通信事業者が悪意あるメッセージを再送した場合や、端末内に保存済みのメッセージをAndroidが処理した場合に、クラッシュが繰り返される恐れがある。テストでは20通の送信で端末が再起動を繰り返した。Android 12の端末は約90秒ごとにリカバリーモードで再起動し、初期化しないと復旧しなかった。GitHubの貢献者ساكيس氏はADBツールで不正メッセージを削除する方法を見つけたが、高度な技術とPCが必要だ。

対象バージョンと対策

研究者によれば、Googleは2026年10月のセキュリティアップデートでAndroid 14、15、16、17向けに修正した。ただし同月の公式セキュリティ情報には記載がなかった。Android 12と13は修正されておらず、10月の更新が未適用の端末も脆弱なままだ。修正は、不正なメッセージの処理で生じる例外を捕捉し、繰り返しクラッシュを防ぐため該当メッセージをSMSデータベースから削除する方式である。

更新の配信は端末メーカーと通信事業者に左右され、Galaxy S24 Ultraのように順次提供される機種もある。攻撃コードが公開されているため、Androidユーザーは利用可能な最新のセキュリティアップデートを早急に適用することが望ましい。