Исследователь в области кибербезопасности обнаружил уязвимость в Android, позволяющую удаленно нарушить работу мобильной связи. Для атаки достаточно одного специально сформированного SMS-сообщения, причем владельцу смартфона даже не нужно открывать сообщение.
Эксперт по кибербезопасности Марк Блах (Mark Blah) обнародовал подробности уязвимости CVE-2026-58882, которую неофициально назвали SMS of Death — «SMS смерти». Как сообщает BleepingComputer, ошибка в системе обработки сообщений позволяет злоумышленникам удаленно вызывать сбои мобильной связи на смартфонах Android. В результате могут прерываться текущие разговоры, в том числе и звонки в экстренные службы.
Особую опасность представляет то, что атака относится к категории zero-click. Это означает, что пользователю не нужно нажимать на ссылку, открывать вложения или подтверждать какие-либо действия. Вредоносное сообщение обрабатывается системой ещё до того, как оно попадёт в папку входящих SMS, поэтому владелец смартфона может даже не догадываться о причине внезапной потери связи.
Добавьте GSMinfo в источники в Google News Чтобы видеть наши публикации в своей ленте новостейКак одно SMS-сообщение может нарушить работу смартфона
Причиной уязвимости стала ошибка в функции WapPushOverSms.decodeWapPdu, которая отвечает за обработку специальных сообщений WAP Push. Злоумышленнику достаточно отправить специально сформированное сообщение длиной всего восемь байтов. Из-за некорректной проверки данных Android получает отрицательное значение размера массива, что приводит к критической ошибке NegativeArraySizeException.
В результате этого аварийно завершается системный процесс com.android.phone, обеспечивающий работу мобильной связи. Смартфон временно теряет возможность совершать и принимать звонки, а текущие разговоры прерываются. Проблема может повторяться, если оператор повторно доставляет вредоносное сообщение или система пытается обработать его после перезагрузки.
В ходе экспериментов исследователь установил, что примерно 20 таких сообщений могут вызвать циклическую перезагрузку устройства. На одном из смартфонов с Android 12 система перезапускалась примерно каждые 90 секунд. В некоторых случаях для восстановления нормальной работы может потребоваться удаление проблемных сообщений через Android Debug Bridge (ADB), что требует специальных технических навыков.
Исследователь также опубликовал демонстрационный код, подтверждающий возможность использования этой уязвимости. В то же время на данный момент нет подтверждённых данных о массовых атаках на пользователей Android с использованием этого метода.
Какие версии Android находятся под угрозой
По информации исследователя, проблема касается Android 12–17. Google подготовила исправление для версий Android 14, 15, 16 и 17, которое появилось в исходном коде ещё в октябре 2026 года. В то же время CVE-2026-58882 официально включили в ноябрьский бюллетень безопасности Android, опубликованный 2 ноября, с критическим уровнем опасности. Поэтому пользователям рекомендуется установить ноябрьское обновление безопасности или более позднюю версию, как только оно станет доступно для их устройства.
Наиболее сложная ситуация сложилась со смартфонами на Android 12 и 13. Эти версии не получили соответствующего исправления в рамках новых обновлений Google, поэтому устройства, производители которых прекратили поддержку программного обеспечения, могут оставаться уязвимыми.
Чтобы проверить уровень защиты смартфона, необходимо открыть настройки Android, перейти в раздел «Информация об устройстве» или «Безопасность» и найти дату последнего обновления системы. Расположение этого пункта зависит от производителя. Если доступна новая версия программного обеспечения, рекомендуется установить её как можно скорее.
Для украинских пользователей эта проблема также актуальна, ведь во время атаки смартфон может потерять мобильную связь в критический момент. Особенно опасно потенциальное прерывание звонков в экстренные службы. При этом обычная блокировка подозрительных SMS не гарантирует защиты, поскольку система обрабатывает вредоносные данные ещё до их отображения пользователю.
