Безопасность4 нояб. 2026 г., 00:53 UTC·2 мин чтения

Android: уязвимость SMS of Death выводит телефоны из строя одним SMS

Уязвимость CVE-2026-58882 в Android позволяет одним специально созданным SMS отключить мобильную связь или вызвать цикл перезагрузок. Рабочий эксплойт уже опубликован.

A smartphone with a cracked screen showing a no-signal icon and an incoming text message warning. — Фото: عالم التقنية

SUMO

Dialo

ediviewer

Исследователь безопасности Марк Бла раскрыл уязвимость SMS of Death в Android с идентификатором CVE-2026-58882. Она позволяет атакующему удалённо отключить мобильную связь или вывести телефон из строя с помощью одного специально сформированного SMS. Исследователь также опубликовал рабочий пример эксплуатации.

Уязвимость относится к классу zero-click: она обрывает текущие звонки, включая экстренные, без каких-либо действий владельца. Система обрабатывает вредоносное сообщение ещё до того, как оно попадает во входящие, поэтому жертва не видит никаких признаков причины сбоя.

Как работает ошибка

Причина в отсутствии проверки значения длины заголовка в функции WapPushOverSms.decodeWapPdu. Злоумышленнику достаточно отправить искажённое WAP Push-сообщение размером восемь байт как сообщение с данными на порт 2948. Значение превращается в отрицательное число, выделение памяти завершается неудачей, процесс com.android.phone, отвечающий за мобильную связь, аварийно завершается, и связь с сетью пропадает.

Сбои могут повторяться, если оператор снова пытается доставить вредоносные сообщения или если Android обрабатывает сообщения, ранее сохранённые на телефоне. В тестах 20 таких сообщений загоняли телефоны в непрерывный цикл перезагрузок. Одно устройство на Android 12 примерно каждые 90 секунд перезагружалось в режиме восстановления, и вернуть его к жизни удалось только сбросом до заводских настроек. Участник GitHub под ником Sakis нашёл способ удалить такие сообщения через ADB, но для этого нужны серьёзные технические навыки и доступ к компьютеру.

Исправление и уязвимые устройства

Google закрыла уязвимость в октябрьских обновлениях безопасности 2026 года для Android 14, 15, 16 и 17, хотя в официальный бюллетень за этот месяц она не вошла. Исправление перехватывает исключения при обработке искажённых сообщений и удаляет вредоносные сообщения из базы SMS, чтобы сбои не повторялись.

Уязвимыми остаются устройства на Android 12 и 13, не получившие патч, а также любые телефоны, до которых ещё не дошло октябрьское обновление. Сроки зависят от производителя и оператора: например, Galaxy S24 Ultra получал обновление постепенно. Поскольку рабочий эксплойт находится в открытом доступе, пользователям Android рекомендуют как можно скорее установить последнее доступное обновление безопасности.