Одне SMS — і смартфон не працює: в Android виявили небезпечну вразливість і в старих версіях її не виправили

Новий експлойт SMS of Death («СМС смерті») для Android потенційно дозволяє зловмиснику віддалено порушити роботу смартфона і навіть повністю вивести його з ладу за допомогою одного спеціально сформованого SMS. Атака належить до класу zero click, тобто зараження відбувається після отримання повідомлення, навіть якщо користувач його не відкрив. У зоні ризику — смартфони під управлінням старих версій Android — 12 і 13.

Джерело зображення: Julio Lopez/unsplash.com

Подробиці про вразливість CVE‑2026‑58882, яка отримала неофіційну назву SMS of Death, повідомив дослідник безпеки Марк Блах (Mark Blah). Це вразливість типу «відмова в обслуговуванні» (DoS), яка не вимагає жодних дій з боку користувача — достатньо самого факту надходження повідомлення на смартфон. Android обробляє його ще до того, як воно потрапляє в папку «Вхідні», тому одразу важко визначити, що саме стало причиною збою.

За словами дослідника, Google усунула цю вразливість в жовтневих оновленнях безпеки Android 2026 року (для версій з 14-ї по 17-ту), а пристрої під управлінням більш старих версій — Android 12 і 13 — залишаються вразливими.

Вразливість пов'язана з некоректною перевіркою значення довжини заголовка в функції WapPushOverSms.decodeWapPdu операційної системи Android. При перетворенні даних у спеціально сформованому восьмибайтовому WAP Push-повідомленні в 32-бітне ціле число зі знаком (без перевірки меж діапазону) система отримує від'ємне значення, яке викликає критичне виключення NegativeArraySizeException. В результаті аварійно завершується процес com.android.phone, відповідальний за стільниковий зв'язок. Як наслідок, перериваються поточні дзвінки (включаючи виклики в екстрені служби).

Дослідник зазначив, що атака може призводити до повторних збоїв: наприклад, коли оператор зв'язку намагається повторно доставити шкідливе повідомлення або коли Android намагається обробити повідомлення, вже збережені в пам'яті пристрою. Їх можна видалити вручну через Android Debug Bridge (ADB), але це доступно технічно підкованим користувачам.

Блах опублікував концепт експлойта (proof-of-concept), що дозволяє надсилати такі шкідливі повідомлення з іншого пристрою на базі Android. У зв'язку з цим користувачам Android-пристроїв рекомендується встановити останні оновлення безпеки.

Хочеш дізнатися більше — читай відгуки