Bezpieczeństwo4 lis 2026, 00:53 UTC·1 min czytania

Android: luka SMS of Death wiesza telefony jedną wiadomością

Luka CVE-2026-58882 w Androidzie pozwala jedną spreparowaną wiadomością odciąć telefon od sieci komórkowej lub wprowadzić go w pętlę restartów. Exploit jest publiczny.

A smartphone with a cracked screen showing a no-signal icon and an incoming text message warning. — Zdjęcie: عالم التقنية

SUMO

Dialo

ediviewer

Badacz bezpieczeństwa Mark Blah ujawnił lukę SMS of Death w systemie Android, oznaczoną jako CVE-2026-58882. Pozwala ona atakującemu zdalnie odciąć telefon od sieci komórkowej, a nawet go wyłączyć, wysyłając jedną specjalnie przygotowaną wiadomość. Badacz opublikował też działający proof of concept.

To atak typu zero-click: przerywa trwające połączenia, także alarmowe, bez żadnej interakcji ze strony właściciela. System przetwarza złośliwą wiadomość, zanim trafi ona do skrzynki odbiorczej, więc ofiara nie widzi żadnego śladu, który tłumaczyłby awarię.

Jak działa błąd

Przyczyną jest brak weryfikacji długości nagłówka w funkcji WapPushOverSms.decodeWapPdu. Wystarczy zniekształcona wiadomość WAP Push o rozmiarze ośmiu bajtów, wysłana jako wiadomość danych na port 2948. Wartość zostaje zamieniona na liczbę ujemną, próba przydzielenia pamięci kończy się niepowodzeniem, a proces com.android.phone, odpowiedzialny za łączność komórkową, ulega awarii.

Awarie mogą się powtarzać, gdy operator ponawia dostarczanie szkodliwych wiadomości albo gdy Android przetwarza wiadomości zapisane wcześniej w telefonie. W testach 20 takich wiadomości wprowadziło telefony w ciągłą pętlę restartów. Jedno urządzenie z Androidem 12 co około 90 sekund uruchamiało się ponownie w trybie recovery i odzyskano je dopiero przywróceniem ustawień fabrycznych. Użytkownik GitHuba o nicku Sakis znalazł sposób usunięcia wiadomości za pomocą narzędzia ADB, ale wymaga on zaawansowanej wiedzy i komputera.

Poprawka i zagrożone urządzenia

Google załatało lukę w październikowych aktualizacjach bezpieczeństwa 2026 dla Androida 14, 15, 16 i 17, choć nie wymieniono jej w oficjalnym biuletynie z tego miesiąca. Poprawka przechwytuje wyjątki powstające przy obsłudze zniekształconych wiadomości i usuwa szkodliwe wiadomości z bazy SMS, by zapobiec kolejnym awariom.

Podatne pozostają urządzenia z Androidem 12 i 13, które poprawki nie dostały, oraz każdy telefon bez październikowej łatki. Jej dostępność zależy od producenta i operatora, więc część modeli, jak Galaxy S24 Ultra, otrzymuje ją z opóźnieniem. Wobec publicznego exploita użytkownikom zaleca się jak najszybszą instalację najnowszej aktualizacji bezpieczeństwa.