Эксплойт "SMS of Death" для Android удалённо выводит из строя телефоны

Эксплойт CVE-2026-58882 удалённо выводит из строя телефоны

Исследователь безопасности выпустил эксплойт для уязвимости Android, получившей название "SMS of Death". Уязвимость позволяет злоумышленникам удалённо нарушать работу сотовой связи или вызывать сбои телефонов. Для атаки достаточно отправить специально сформированное текстовое сообщение. Уязвимость получила идентификатор CVE-2026-58882.

"SMS of Death" нарушает работу сотовой связи

Уязвимость типа "отказ в обслуживании" (Denial-of-Service, DoS) работает без взаимодействия с пользователем. Она может прерывать текущие звонки, включая экстренные. Система обрабатывает сообщение до его попадания в папку "Входящие", поэтому у жертвы нет видимых признаков атаки. Исследователь Марк Бла сообщил, что Google исправила уязвимость в октябрьских обновлениях безопасности Android 14–17. Однако в бюллетене безопасности Google за октябрь эта уязвимость не указана. Устройства с Android 12 и 13 остались уязвимы, так как не получили исправление.

Уязвимость возникает из-за некорректной обработки заголовка сообщения

Бла опубликовал технический анализ уязвимости. Она вызвана некорректной проверкой значения длины заголовка в функции WapPushOverSms.decodeWapPdu операционной системы Android. Для эксплуатации уязвимости злоумышленник отправляет на целевой телефон искажённое WAP Push-сообщение размером восемь байт. При преобразовании этого значения в 32-битное целое число со знаком без проверки границ оно становится равным -2147483648. Попытка Android выделить память с использованием этого отрицательного значения вызывает исключение NegativeArraySizeException. Это приводит к сбою процесса com.android.phone, который отвечает за функции сотовой связи. Сбой процесса нарушает мобильное соединение и прерывает текущие звонки, в том числе экстренные. Исследователь отмечает, что атака может вызывать повторные сбои при попытках оператора повторно доставить вредоносные сообщения или при обработке уже сохранённых сообщений. Тестирование показало, что отправка 20 вредоносных сообщений может привести к циклической перезагрузке телефонов. На одном из устройств с Android 12 телефон перезагружался в режим восстановления каждые 90 секунд, требуя сброса к заводским настройкам.

Установка обновлений безопасности защищает от атаки

Разработчик Sakis нашёл способ удаления вредоносных сообщений с помощью Android Debug Bridge (ADB). Этот метод требует продвинутых технических знаний и доступа к компьютеру. Исследователь опубликовал эксплойт, позволяющий отправлять вредоносные сообщения с другого Android-устройства. Исправление от Google, озаглавленное "Fix remote DoS in decodeWapPdu", предотвращает сбои, перехватывая исключения, возникающие при обработке системой Android искажённых текстовых сообщений. Патч также удаляет вредоносные сообщения из базы данных SMS, предотвращая повторные сбои. Обновления безопасности Android обычно устанавливаются автоматически на поддерживаемых устройствах. Их доступность зависит от производителя устройства и оператора связи. Для завершения установки может потребоваться перезагрузка. Поскольку рабочий эксплойт стал общедоступным, пользователям Android рекомендуется установить последние обновления безопасности для защиты своих устройств.