Специалист по безопасности Марк Бла (Mark Blah) выпустил инструмент доказательства концепции для недавно исправленной уязвимости в операционной системе Android, получившей название "текстовое сообщение смерти" (SMS of Death) и идентификатор CVE-2026-58882. Эта уязвимость позволяет злоумышленникам удаленно отключать услуги сотовой связи или обрушивать целевые телефоны без какого-либо взаимодействия с пользователем путем отправки специально модифицированного текстового сообщения.
Данная уязвимость классифицируется как атака типа "отказ в обслуживании", не требующая никаких действий со стороны пользователя (Zero-click). Она может прерывать текущие вызовы, включая экстренные вызовы. Что еще хуже, Android обрабатывает сообщение до того, как оно попадает во входящие, не оставляя пользователю никаких визуальных индикаторов причины сбоя устройства.
Как работает уязвимость WapPushOverSms?
Технический исследователь пояснил, что уязвимость вызвана отсутствием надлежащей проверки значения длины заголовка в функции (decodeWapPdu) в компоненте (WapPushOverSms) операционной системы Android. Для осуществления атаки поврежденное WAP-push-сообщение размером восемь байт может быть отправлено на порт (2948) в виде данных SMS.
Когда это значение преобразуется в 32-битное знаковое целое число без проверки границ, оно превращается в (-2147483648). Когда Android пытается выделить память, используя это отрицательное значение, генерируется исключение (NegativeArraySizeException), приводящее к сбою процесса управления связью (com.android.phone). В результате сотовая связь прерывается, а устройства выходят из строя.
Риски повторения сбоев и циклов перезагрузки
Тестирование исследователя показало, что отправка 20 вредоносных сообщений может привести к тому, что телефоны попадут в бесконечный цикл перезагрузки. На одном из устройств под управлением Android 12 телефон перезагружался в режим восстановления (Recovery Mode) примерно каждые 90 секунд, что потребовало выполнения сброса до заводских настроек для восстановления работоспособности устройства.
Хотя Google выпустила исправление безопасности, решающее проблему путем перехвата исключений и удаления вредоносных сообщений из базы данных SMS, старые устройства, такие как Android 12 и 13, остаются уязвимыми из-за отсутствия обновлений.
Что это значит для пользователей?
В связи с тем, что инструмент доказательства концепции находится в публичном доступе, пользователям поддерживаемых устройств Android рекомендуется как можно скорее установить последние обновления безопасности, чтобы защитить свои устройства от потенциальных атак и предотвратить повторные сбои системы.