SMS of Death: luka w Androidzie wyłącza łączność jedną wiadomością

Badacz bezpieczeństwa Mark Blah opisał lukę CVE-2026-58882, nazwaną SMS of Death. Jedna spreparowana wiadomość SMS może zdalnie zakłócić pracę telefonu z Androidem. To atak typu zero click: wystarczy, że wiadomość dotrze na urządzenie, a użytkownik nie musi jej otwierać.

Poprawki nie dostały starsze wersje systemu, czyli Android 12 i 13. Według badacza Google załatała błąd w październikowych aktualizacjach bezpieczeństwa 2026 r. dla Androida od 14 do 17.

Jak działa atak

Problem tkwi w niepoprawnej weryfikacji długości nagłówka w funkcji WapPushOverSms.decodeWapPdu. Przy przetwarzaniu specjalnie przygotowanej, ośmiobajtowej wiadomości WAP Push dane są zamieniane na 32-bitową liczbę całkowitą ze znakiem bez sprawdzenia zakresu. System dostaje wartość ujemną, co wywołuje wyjątek NegativeArraySizeException.

W efekcie awaryjnie kończy działanie proces com.android.phone, odpowiedzialny za łączność komórkową. Przerwane zostają trwające rozmowy, także połączenia z numerami alarmowymi. Android przetwarza wiadomość, zanim trafi ona do skrzynki odbiorczej, dlatego trudno od razu ustalić przyczynę awarii.

Badacz zwraca uwagę, że awarie mogą się powtarzać. Dzieje się tak, gdy operator ponawia dostarczenie złośliwej wiadomości albo gdy system próbuje przetworzyć wiadomości zapisane już w pamięci. Można je usunąć ręcznie przez Android Debug Bridge (ADB), ale wymaga to wiedzy technicznej.

Co dalej

Blah opublikował proof of concept, który pozwala wysyłać takie wiadomości z innego urządzenia z Androidem. Dostępność kodu zwiększa ryzyko nadużyć. Użytkownikom zaleca się instalowanie najnowszych aktualizacji zabezpieczeń. Właściciele telefonów z Androidem 12 i 13 nie mają na razie oficjalnej poprawki.