«SMS of Death» для Android: PoC дозволяє зривати зв’язок і класти телефони
Дослідник оприлюднив робочий експлойт (PoC) для уразливості «SMS of Death» (CVE-2026-58882), що дає змогу віддалено зірвати стільниковий зв’язок або спричинити крах Android-смартфона без дій користувача.
Дослідник безпеки опублікував робочий експлойт (PoC) для уразливості Android «SMS of Death» (CVE-2026-58882), яка дозволяє віддалено порушити стільниковий зв’язок або спричинити падіння смартфона, надіславши спеціально сформоване SMS.
Що сталося
Йдеться про атаку без взаємодії користувача (zero‑click) — атаку відмови в обслуговуванні, що може перервати поточні дзвінки, зокрема екстрені. Android обробляє таке повідомлення ще до появи у вхідних, тож користувач не бачить причини збою.
Як це працює
Дослідник Mark Blah опублікував технічний розбір помилки перевірки довжини заголовка у функції Android WapPushOverSms.decodeWapPdu. Для експлуатації достатньо надіслати некоректне восьмибайтне WAP Push повідомлення «01 06 88 80 80 80 00 BE» як data‑SMS (SMS з даними) на порт 2948. Значення інтерпретується як підписане 32‑бітне ціле без перевірки меж і перетворюється на −2147483648. Спроба виділення пам’яті з таким значенням викликає NegativeArraySizeException і «падає» процес com.android.phone, що керує стільниковими функціями.
У результаті зникає мобільне з’єднання, обриваються активні виклики. Повторна доставка оператором або повторна обробка вже збережених повідомлень може спричиняти серійні збої. Під час тестів 20 шкідливих SMS іноді заганяли пристрої в цикл перезавантажень; на одному смартфоні з Android 12 він перезавантажувався в recovery приблизно кожні 90 секунд і потребував скидання до заводських налаштувань.
Кого зачіпає і що з виправленнями
За словами дослідника, Google виправила проблему в жовтневих оновленнях безпеки 2026 року для Android 14–17, однак уразливість не згадана в офіційному жовтневому бюлетені. Пристрої на Android 12 і 13, що не отримали патч, залишаються вразливими. Опублікований PoC дозволяє надсилати шкідливі повідомлення з іншого Android‑пристрою. Учасник GitHub під ніком Sakis запропонував спосіб видалити шкідливі SMS через Android Debug Bridge (ADB), але це вимагає технічних навичок і доступу до комп’ютера.
Що робить патч Google
Виправлення під назвою «Fix remote DoS in decodeWapPdu» перехоплює винятки під час обробки некоректних повідомлень і видаляє їх з бази SMS, щоб запобігти повторним збоям. Оновлення безпеки зазвичай встановлюються автоматично на підтримуваних пристроях, але їхня доступність залежить від виробника та оператора; для завершення встановлення може знадобитися перезапуск.
Як захиститися
Оскільки оприлюднено робочий експлойт, користувачам Android радять якнайшвидше встановити останні оновлення безпеки.
