セキュリティ研究者のマーク・ブラー（Mark Blah）氏は、Androidオペレーティングシステムの最近修正された脆弱性を悪用するための概念実証（PoC）ツールをリリースしました。この脆弱性は「SMS of Death（死のSMS）」と呼ばれ、CVE-2026-58882の識別子が割り当てられています。この脆弱性により、攻撃者は特別に改変されたテキストメッセージを送信することで、ユーザーの操作なしに、遠隔から標的となった携帯電話の通信サービスの無効化やクラッシュを引き起こすことが可能になります。
この脆弱性は、ユーザーの操作を一切必要としないゼロクリック型のサービス拒否（DoS）攻撃に分類され、緊急通報を含む通話中の通信を切断することができます。さらに危険なことに、Androidはメッセージが受信トレイに届く前に処理するため、ユーザーは端末がクラッシュした理由を示す視覚的な手がかりを一切得ることができません。
WapPushOverSmsの脆弱性はどのように機能するか
技術研究員によると、この脆弱性はAndroidの（WapPushOverSms）コンポーネント内にある（decodeWapPdu）関数において、ヘッダー長の値が適切に検証されていないことに起因しています。攻撃を実行するには、破損した8バイトのWAPプッシュメッセージを、SMSデータとしてポート（2948）に送信します。
この値が境界チェックなしで32ビット符号付き整数に変換されると、「-2147483648」に変化します。Androidがこの負の値を使用してメモリを割り当てようとすると、（NegativeArraySizeException）例外が発生し、通信管理プロセス（com.android.phone）のクラッシュを引き起こします。その結果、携帯電話の通信が切断され、端末が動作不能に陥ります。
反復リスクと再起動ループ
研究者によるテストでは、20件の悪意あるメッセージを送信することで、端末が継続的な再起動ループに陥る可能性があることが示されました。Android 12を搭載したある端末では、端末が約90秒ごとにリカバリモード（Recovery Mode）で自動的に再起動を繰り返し、端末を復旧させるためにはファクトリーリセット（工場出荷時の設定へのリセット）を実行する必要が生じました。
Googleはこの問題を解決するため、例外をキャッチしてSMSデータベースから悪意あるメッセージを削除するセキュリティパッチをリリースしていますが、Android 12や13などの古い端末はアップデートを受け取れないため、依然として脆弱な状態にあります。
これがユーザーにとって意味すること
概念実証ツールが一般に公開された今、サポート対象のAndroidユーザーは、潜在的な攻撃からデバイスを保護し、システム障害の繰り返しを防ぐためにも、最新のセキュリティアップデートが利用可能になり次第すぐにインストールすることが推奨されます。