Android「SMS of Death」脆弱性、クリック不要で通話を遮断

独立系セキュリティ研究者のMark Blaszczyk氏は、Androidのゼロデイ脆弱性「SMS of Death」を公表した。特定の内容のSMSを受信するだけで、ユーザーが何も操作しなくても電話機能が強制終了する。Googleは修正を完了しており、更新済みの端末は影響を受けない。

仕組み

問題は、MMS通知やプッシュ配信に使われてきた旧来の「データSMS」を処理する部分にある。このメッセージは画面に表示されず、バックグラウンドで処理される。Androidはヘッダー長をlong型で読み取り、妥当性を確認せずに32ビット符号付き整数へ変換していた。

5バイトの列「88 80 80 80 00」を使うと値が-2147483648になる。Androidはこの負のサイズでバイト配列を作ろうとし、通信を担うcom.android.phoneプロセスが終了する。再起動までの1〜2秒、サービスが途切れ、通話中なら切断される。

攻撃に必要なのは電話番号だけで、メッセージは受信箱にも通知にも現れない。

繰り返し送信で被害が拡大

研究者によると、1通でも最長1週間ほど断続的な途切れが起こり得る。約20通ならさらに長く使用不能にできる。約30通を短時間に送ると、SMSを保存するSQLiteデータベースが破損し、起動のたびにクラッシュする場合がある。

初期化でも同じSMSを再送されれば解決しない。研究者は、物理SIMをAndroid以外の端末に挿して破損したSMSを削除する方法を挙げるが、eSIMではほぼ不可能という。

修正状況

Blaszczyk氏は5月5日、Android and Devices Vulnerability Reward Programを通じてGoogleに報告した。当初は深刻なセキュリティ問題とは判断されなかったが、2026年6月15日に修正が作成され、2026年10月のセキュリティ更新としてAndroid 14〜17向けに提供された。多くの端末は自動更新される。

データの窃取やスパイウェアの導入、端末の乗っ取りはできず、影響は通話や移動体通信を妨げるサービス拒否攻撃に限られる。ただし緊急通報への影響が最大の懸念だ。悪用は確認されていない。