„SMS of Death”: luka w Androidzie wyłącza telefon bez kliknięcia

Jedna specjalnie przygotowana wiadomość SMS wystarczy, by wywołać awarię telefonu z Androidem. Luka, nazwana „SMS of Death”, należy do kategorii zero-click: ofiara nie musi niczego otwierać, instalować ani zatwierdzać. Google już ją załatało.

Niezależny badacz bezpieczeństwa Mark Blaszczyk opublikował szczegółowy opis podatności. Dotyczy ona rzadko dziś używanego starszego formatu „data SMS”, stosowanego dawniej do powiadomień o MMS-ach i treści push. Taka wiadomość nigdy nie pojawia się na ekranie ani w powiadomieniach, bo jest przetwarzana w tle.

Jak działa atak

Błąd wynika z niedopilnowanej konwersji. Android odczytuje długość nagłówka wiadomości jako liczbę typu long, a następnie zamienia ją na 32-bitową liczbę ze znakiem, nie sprawdzając, czy wartość jest sensowna. Sekwencja pięciu bajtów 88 80 80 80 00 daje w wyniku -2147483648. System próbuje wtedy utworzyć tablicę bajtów o ujemnym rozmiarze, co kończy proces com.android.phone odpowiedzialny za telefonię.

Każda taka wiadomość odcina usługę na jedną do dwóch sekund, czyli do ponownego uruchomienia procesu, i przerywa trwające połączenia. Atakujący potrzebuje tylko numeru ofiary i może wysyłać wiadomości wielokrotnie. Według badacza pojedynczy SMS może powodować sporadyczne przerwy nawet przez tydzień, a dwadzieścia wiadomości potrafi unieruchomić urządzenie na dłużej. Po około trzydziestu szybko wysłanych wiadomościach powtarzające się awarie mogą uszkodzić bazę SQLite przechowującą SMS-y, a telefon zacznie się zawieszać przy każdym uruchomieniu.

Przywrócenie ustawień fabrycznych nie zawsze pomaga, bo atakujący może wysłać wiadomość ponownie. Badacz radzi wyjąć fizyczną kartę SIM, włożyć ją do telefonu spoza Androida i usunąć uszkodzone wiadomości. W przypadku eSIM jest to praktycznie niewykonalne.

Poprawka i skala zagrożenia

Blaszczyk zgłosił problem Google 5 maja w ramach programu Android and Devices Vulnerability Reward Program. Firma początkowo uznała go za kwestię niezwiązaną z bezpieczeństwem i zbyt mało poważną. Poprawkę przygotowano jednak 15 czerwca 2026 roku, a trafiła do październikowej aktualizacji zabezpieczeń Androida 2026 dla wersji od Androida 14 do 17. Większość użytkowników nie musi nic robić, bo telefon zaktualizuje się sam.

Luka nie pozwala kraść danych, instalować oprogramowania szpiegującego ani przejąć kontroli nad urządzeniem. To odmiana ataku typu odmowa usługi, która blokuje połączenia i dostęp do sieci komórkowej. Największe ryzyko dotyczy połączeń alarmowych. Nie odnotowano dotąd wykorzystania luki przez przestępców.