Android: уязвимость «SMS of Death» выводит телефон из строя

Одно специально подготовленное SMS способно привести к сбою на смартфоне с Android. Уязвимость под названием «SMS of Death» относится к типу zero-click: жертве не нужно ничего открывать, устанавливать или подтверждать. Google уже устранила проблему.

Независимый исследователь по кибербезопасности Марк Блашчик опубликовал подробное описание бреши. Она связана с устаревшим и почти не используемым форматом «data SMS», который раньше применялся для уведомлений об MMS и push-контента. Такое сообщение не появляется ни на экране, ни в уведомлениях, поскольку обрабатывается в фоне.

Как работает атака

Причина в плохо контролируемом преобразовании типов. Android считывает длину заголовка сообщения как длинное целое, затем переводит её в знаковое 32-битное целое, не проверяя правдоподобность значения. Последовательность из пяти байт 88 80 80 80 00 даёт число -2147483648. Система пытается создать массив байтов отрицательного размера, и процесс com.android.phone, отвечающий за телефонию, завершается.

Каждое такое сообщение отключает сервис на одну-две секунды, пока процесс перезапускается, и обрывает текущие звонки. Злоумышленнику нужен лишь номер жертвы, а сообщения он может отправлять сколько угодно. По словам исследователя, одно SMS способно вызывать периодические сбои до недели, а двадцать сообщений могут сделать устройство непригодным ещё дольше. Примерно после тридцати быстро отправленных сообщений повторяющиеся сбои могут повредить базу SQLite, где хранятся SMS, и тогда телефон начнёт падать при каждом запуске даже без новых сообщений.

Сброс до заводских настроек помогает не всегда: атакующий может отправить то же SMS снова. Исследователь советует извлечь физическую SIM-карту, вставить её в телефон не на Android и удалить повреждённые сообщения. С eSIM это практически невозможно.

Исправление и масштаб угрозы

Блашчик сообщил о проблеме Google 5 мая через программу Android and Devices Vulnerability Reward Program. Сначала компания сочла её не связанной с безопасностью и недостаточно серьёзной. Тем не менее 15 июня 2026 года исправление было разработано и вошло в октябрьское обновление безопасности Android 2026 года для версий с Android 14 по Android 17. Большинству пользователей ничего делать не нужно: телефон обновится сам.

Уязвимость не позволяет красть данные, устанавливать шпионское ПО или получать контроль над устройством. Это разновидность атаки на отказ в обслуживании: она мешает звонить, принимать вызовы и пользоваться мобильной сетью. Наибольшую опасность она представляет для экстренных вызовов. Случаев использования уязвимости злоумышленниками пока не зафиксировано.