SMS-бомба вызывает сбои Android без участия пользователя

Уязвимость CVE-2026-58882 позволяет удаленно вызвать сбой телефона

Критическая уязвимость в Android под идентификатором CVE-2026-58882 позволяет злоумышленникам вызывать отказ в обслуживании (DoS) на устройствах. Атака происходит без какого-либо участия пользователя, для её проведения достаточно отправить специально сформированное SMS-сообщение. Уязвимость получила название "SMS of Death".

Уязвимость в обработке WAP Push-сообщений приводит к сбоям

Ошибка кроется в функции WapPushOverSms.decodeWapPdu и связана с некорректной валидацией значения длины заголовка. Злоумышленник может отправить на порт 2948 устройства вредоносное WAP Push-сообщение длиной восемь байт. При обработке этого сообщения Android пытается выделить память, используя отрицательное значение, что приводит к исключению NegativeArraySizeException. Это вызывает сбой процесса com.android.phone, отвечающего за работу сотовой связи. В результате прерываются звонки, нарушается мобильное соединение и даже работа экстренных служб.

Сообщения обрабатываются до попадания в папку входящих, поэтому пользователь не получает уведомлений и не знает о причине сбоя. Некоторые операторы могут повторно доставлять неотправленные сообщения, усугубляя проблему. Android также пытается обрабатывать уже сохраненные сообщения, что может привести к повторным сбоям.

Отправка 20 и более таких сообщений может спровоцировать бесконечный цикл перезагрузок устройства. На Android 12 это может привести к циклическому режиму восстановления, после которого единственным решением остается сброс до заводских настроек.

Обновление устраняет CVE-2026-58882, но старые устройства остаются уязвимы

Google исправила уязвимость в поддерживаемых версиях Android. Исправление, получившее название "Fix remote DoS in decodeWapPdu", предотвращает сбои, перехватывая исключения при обработке некорректных SMS. Оно также удаляет вредоносные сообщения из базы данных, чтобы избежать повторных атак. Однако устройства, поддержка которых прекращена, не получат патч и останутся уязвимы.

Исследователь Марк Блах опубликовал proof-of-concept (PoC) для демонстрации эксплуатации уязвимости. Существует способ удаления вредоносного сообщения с помощью Android Debug Bridge (ADB), но он требует технических знаний. Google выпустила исправление в октябрьских обновлениях безопасности 2026 года. Пользователям рекомендуется установить доступные обновления как можно скорее, учитывая, что производители устройств имеют разные графики выпуска обновлений.