Уязвимость SMS of Death в Android: как вредоносные сообщения перезагружают телефоны

Исследователь безопасности опубликовал концепт эксплойта для уязвимости в операционной системе Android, получившей название SMS of Death и идентификатор CVE-2026-58882. Данная брешь позволяет злоумышленникам удаленно нарушать работу мобильной связи или вызывать аварийное завершение работы устройств с помощью специально сформированного текстового сообщения.

• Эксплойт использует уязвимость типа zero-click denial-of-service, прерывающую звонки без участия пользователя.
• Ошибка кроется в функции WapPushOverSms.decodeWapPdu из-за некорректной валидации длины заголовка.
• Патч вошел в октябрьские обновления безопасности 2026 года для Android 14–17, но старые версии остались уязвимы.
• Отправка таких сообщений может зациклить перезагрузку устройства, требуя сброса до заводских настроек.

Технические детали уязвимости и атаки

Уязвимость возникает из-за неправильной обработки заголовков WAP Push сообщений. Когда устройство получает вредоносное восьмибайтное сообщение, значение длины преобразуется в знаковое 32-битное целое число без проверки границ, превращаясь в минус два миллиарда. Попытка выделить память под отрицательное значение вызывает исключение NegativeArraySizeException, которое мгновенно аварийно завершает процесс com.android.phone.

Поскольку этот системный процесс отвечает за всю сотовую связь, его падение приводит к отключению мобильной сети и активных звонков, включая экстренные службы. Исследователь Марк Блах выяснил, что отправка серии из двадцати таких сообщений может загнать смартфон в бесконечный цикл перезагрузки. На некоторых старых устройствах телефон начинал сбоить каждые 90 секунд, и для восстановления работоспособности требовался полный сброс настроек (factory reset).

Статус исправлений и реакция Google

По данным исследователя, корпорация Google устранила эту проблему в октябрьских обновлениях безопасности Android за 2026 год, выпустив патч под названием Fix remote DoS in decodeWapPdu. Исправление перехватывает исключения при обработке некорректных данных и автоматически удаляет опасные сообщения из базы данных SMS, предотвращая повторные сбои.

Однако патч доступен только для поддерживаемых версий Android с 14 по 17. Устройства на базе Android 12 и 13 остались уязвимы, так как не получили официального обновления. Более того, в официальном октябрьском бюллетене безопасности Google эта уязвимость даже не была упомянута, что вызвало вопросы у экспертного сообщества.

Что делать пользователям для защиты

Появление работающего proof-of-concept эксплойта в публичном доступе означает, что владельцам смартфонов следует незамедлительно проверить наличие доступных обновлений системы. Поскольку доставка апдейтов зависит от производителей устройств и операторов связи, процесс может занять некоторое время.

В случае попадания устройства в цикл перезагрузки продвинутые пользователи могут удалить вредоносное сообщение с помощью интерфейса отладки Android Debug Bridge (ADB), подключив смартфон к компьютеру. В остальных случаях владельцам незащищенных старых моделей рекомендуется проявлять предельную осторожность и по возможности ограничить прием неизвестных WAP Push сообщений.