Уразливість SMS of Death може віддалено збивати роботу Android
Уразливість CVE-2026-58882 дозволяє зірвати роботу непідтримуваних Android-пристроїв через спеціально сформоване SMS.
У непідтримуваних пристроях Android виявили критичну вразливість CVE-2026-58882, яка дає змогу зловмиснику порушити роботу телефону спеціально сформованим SMS-повідомленням без будь-яких дій користувача. Як повідомляє TechRadar, Google вже виправила проблему у новіших версіях операційної системи, але пристрої, для яких завершилася підтримка, ризикують залишитися вразливими.
Дослідник із кібербезпеки Mark Blah назвав помилку zero-click уразливістю типу відмова в обслуговуванні. Вона міститься у функції Android WapPushOverSms.decodeWapPdu та пов’язана з некоректною перевіркою значення довжини заголовка повідомлення.
Збій без відкриття повідомлення
Для атаки достатньо надіслати на телефон шкідливо сформоване WAP Push-повідомлення. Система обробляє такі повідомлення ще до їх появи у папці вхідних, тому власник пристрою не отримує сповіщення і не мусить відкривати SMS. Некоректні дані можуть спричинити помилку в процесі com.android.phone, який відповідає за функції мобільного зв’язку.
Унаслідок цього телефон може втратити мобільне з’єднання, а активний дзвінок — перерватися. За даними видання, повторне надсилання таких повідомлень здатне спричиняти нові збої: оператори можуть повторно доставляти SMS, які не потрапили до вхідних, а Android намагатиметься знову обробити повідомлення, що вже збереглися на пристрої.
Оновлення доступне не для всіх
Mark Blah встановив, що надсилання 20 або більше шкідливих повідомлень може перевести пристрій у цикл перезавантажень. На пристрої з Android 12 це, за його даними, здатне викликати циклічний перехід до режиму відновлення, після чого єдиним практичним способом відновити роботу може бути скидання до заводських налаштувань.
Google випустила виправлення для Android 14–17 у жовтневих оновленнях безпеки 2026 року. Воно перехоплює помилки під час обробки некоректних текстових повідомлень і видаляє їх із бази SMS, щоб запобігти повторним збоям. Водночас терміни надходження оновлення залежать від виробника пристрою. Дослідник також оприлюднив демонстраційний код для перевірки вразливості.
