Android脆弱性「SMS of Death」、1通のSMSで通信機能が停止
Androidに「SMS of Death」と呼ばれるゼロクリック脆弱性(CVE-2026-58882)が見つかった。Android 12と13は未修正のままだ。
Android端末の携帯通信を、細工したSMS1通で停止させられるゼロクリック脆弱性「SMS of Death」(CVE-2026-58882)が明らかになった。セキュリティ研究者のMark Blah氏が詳細を公表した。Android 12と13は修正されておらず、リスクが残る。
受信しただけで障害が発生
これはサービス拒否(DoS)型の脆弱性で、ユーザーの操作は不要だ。メッセージが端末に届くだけで成立する。Androidは受信トレイに振り分ける前にメッセージを処理するため、障害の原因を特定しにくい。
原因は、AndroidのWapPushOverSms.decodeWapPdu関数でヘッダー長の検証が不適切な点にある。細工された8バイトのWAP Pushメッセージを、範囲チェックなしで32ビット符号付き整数に変換すると負の値となり、NegativeArraySizeExceptionが発生する。その結果、携帯通信を担うcom.android.phoneプロセスが異常終了し、通話は切断される。緊急通報も例外ではない。
研究者によれば、事業者によるメッセージの再配信や、端末内に保存済みのメッセージの処理をきっかけに、クラッシュが繰り返されることもある。該当メッセージはAndroid Debug Bridge(ADB)で手動削除できるが、技術に詳しいユーザー向けの方法だ。
修正状況と対策
Blah氏によると、Googleは2026年10月のセキュリティアップデートでAndroid 14〜17の脆弱性を修正した。一方、Android 12と13の端末は脆弱なままだ。同氏は別のAndroid端末から悪意あるメッセージを送れる概念実証(PoC)コードも公開している。
利用者には、提供されている最新のセキュリティアップデートを適用することが推奨されている。
