SMS of Death: уязвимость в Android 12 и 13 позволяет вывести смартфон из строя одним сообщением

Исследователь безопасности Марк Блах раскрыл подробности уязвимости CVE-2026-58882, которую неофициально называют SMS of Death. Это атака типа «отказ в обслуживании» (DoS), для срабатывания которой достаточно самого факта поступления специально сформированного SMS на смартфон. Пользователю не нужно открывать сообщение или как-либо взаимодействовать с устройством — атака относится к классу zero click. Поскольку Android обрабатывает сообщение ещё до того, как оно попадёт в папку «Входящие», определить причину сбоя сразу бывает сложно.

По словам Блаха, Google устранила уязвимость в октябрьских обновлениях безопасности Android 2026 года для версий с 14-й по 17-ю. Устройства под управлением Android 12 и 13 остаются уязвимыми.

Проблема связана с некорректной проверкой значения длины заголовка в функции WapPushOverSms.decodeWapPdu. При преобразовании данных в специально сформированном восьмибайтовом WAP Push-сообщении в 32-битное целое число со знаком без проверки границ диапазона система получает отрицательное значение. Это вызывает критическое исключение NegativeArraySizeException, из-за которого аварийно завершается процесс com.android.phone, отвечающий за сотовую связь. В результате прерываются текущие звонки, включая вызовы в экстренные службы.

Исследователь отметил, что атака может приводить к повторным сбоям: например, когда оператор связи пытается повторно доставить вредоносное сообщение или когда Android обрабатывает сообщения, уже сохранённые в памяти устройства. Удалить их можно вручную через Android Debug Bridge (ADB), но это доступно только технически подкованным пользователям.

Блах опубликовал концепт эксплойта (proof-of-concept), позволяющий отправлять такие вредоносные сообщения с другого устройства на базе Android. В связи с этим пользователям Android-устройств рекомендуется установить последние обновления безопасности.

Источник: 3DNews