SMS of Death: уязвимость Android отключает связь одним сообщением

Исследователь безопасности Марк Блах (Mark Blah) раскрыл уязвимость CVE-2026-58882, получившую неофициальное название SMS of Death. Одно специально сформированное SMS способно удалённо нарушить работу Android-смартфона. Это атака класса zero click: достаточно, чтобы сообщение пришло на устройство, открывать его не нужно.

Без исправления остаются старые версии системы — Android 12 и 13. По словам исследователя, Google закрыла брешь в октябрьских обновлениях безопасности 2026 года для Android с 14-й по 17-ю версию.

Как работает атака

Причина — некорректная проверка длины заголовка в функции WapPushOverSms.decodeWapPdu. При обработке специально созданного восьмибайтового WAP Push-сообщения данные преобразуются в 32-битное целое число со знаком без проверки границ диапазона. Система получает отрицательное значение, что приводит к исключению NegativeArraySizeException.

В итоге аварийно завершается процесс com.android.phone, отвечающий за сотовую связь. Прерываются текущие звонки, включая вызовы экстренных служб. Android обрабатывает сообщение ещё до того, как оно попадает во «Входящие», поэтому причину сбоя сразу определить сложно.

Исследователь отмечает, что сбои могут повторяться: например, когда оператор пытается заново доставить вредоносное сообщение или когда система обрабатывает уже сохранённые в памяти сообщения. Удалить их можно вручную через Android Debug Bridge (ADB), но это под силу лишь технически подготовленным пользователям.

Что делать

Блах опубликовал proof-of-concept, позволяющий отправлять такие сообщения с другого Android-устройства. Публичный код повышает риск злоупотреблений. Пользователям рекомендуют установить последние обновления безопасности, а владельцам смартфонов с Android 12 и 13 официального исправления пока ждать не приходится.