Публикувано е работещо доказателство за експлоатация (PoC) на уязвимост в Android, която позволява дистанционно прекъсване на мобилната свързаност и срив на телефон без каквото и да е действие от страна на потребителя. Проблемът е особено сериозен, защото може да прекъсне и разговори със спешни служби.

Уязвимост в механизма за обработка на SMS съобщения в Android получи неофициалното име „SMS of Death“. Тя е проследявана като CVE-2026-58882 и позволява атака тип отказ на услуга (DoS) чрез специално конструирано текстово съобщение. Изследователят Марк Бла (Mark Blah) публикува технически анализ и доказателство за експлоатация, което може да изпраща злонамерените съобщения от друго Android устройство.

Особеното при този сценарий е, че атаката не изисква получателят да отвори съобщението, да последва връзка или да взаимодейства по какъвто и да е начин с телефона си. Android обработва съобщението още преди то да се появи във входящата кутия.

Грешка при обработката на WAP Push съобщения

Според техническия анализ причината е неправилна проверка на стойност, определяща дължината на заглавната част, във функцията WapPushOverSms.decodeWapPdu.

За експлоатацията се използва осембайтово съобщение от типа WAP Push, изпратено като SMS с данни към порт 2948:

01 06 88 80 80 80 00 BE

При обработката на определена стойност тя се преобразува в отрицателно 32-битово цяло число -2147483648. Тъй като липсва необходимата проверка на границите, Android се опитва да задели памет с невалиден отрицателен размер.

Това предизвиква изключение NegativeArraySizeException и срив на процеса com.android.phone, който отговаря за ключови функции на мобилната телефония.

Последствията не се ограничават до временно затваряне на приложение. Сривът може да прекъсне мобилната свързаност и текущите разговори, включително обажданията към спешни служби. Получателят може да не види никакво съобщение или друго очевидно предупреждение, което да му подскаже какво е причинило проблема.

Повтарящи се сривове и риск от цикъл на рестартиране

Изследователят предупреждава, че последствията могат да се задълбочат, ако мобилният оператор повторно достави злонамереното съобщение или ако Android опита отново да обработи вече съхранено съобщение.

При тестове изпращането на 20 специално конструирани съобщения е довело до състояния, при които устройствата попадат в цикъл на рестартиране. При един от тестваните телефони с Android 12 устройството е преминавало в режим за възстановяване приблизително на всеки 90 секунди. За възстановяването му се е наложило връщане към фабричните настройки.

Това показва, че атаката може да има по-продължителен ефект от обикновено прекъсване на мобилната услуга. В зависимост от устройството и начина, по който се обработват повторно получените съобщения, може да се стигне до сериозно затруднение при нормалното му използване.

Изследователят посочва и метод за премахване на злонамерените съобщения чрез Android Debug Bridge (ADB), открит от участник в GitHub с името Sakis. Този подход обаче изисква технически познания и достъп до компютър, поради което не е практично решение за повечето потребители.

Google  публикува корекция, но не всички версии са защитени

Според Марк Бла Google е отстранила проблема с актуализациите за сигурност от октомври 2026 г. за Android 14 до Android 17. Корекцията е озаглавена „Fix remote DoS in decodeWapPdu“ и предотвратява сривовете чрез прихващане на изключенията, възникващи при обработката на неправилно форматирани съобщения.

Промяната включва и изтриване на злонамерените съобщения от SMS базата данни, за да се предотврати повторното им задействане при следваща обработка.

Има обаче важна подробност: CVE-2026-58882 не е посочена в официалния бюлетин за сигурност на Google за октомври. Освен това според публикуваната информация устройствата с Android 12 и Android 13 не са получили същата корекция и остават уязвими.

Това налага внимание при оценката на реалното покритие на актуализацията. Наличието на октомврийски пач не е достатъчно само по себе си – потребителите трябва да проверят дали конкретният производител е предоставил съответната корекция за техния модел.

Какво трябва да направят потребителите

След публикуването на работещ PoC прагът за практическо използване на уязвимостта е по-нисък. Препоръката е потребителите да проверят наличните актуализации за сигурност и да инсталират най-новата версия, предоставена от производителя на устройството.

Особено важно е да се има предвид, че в Android актуализациите се разпространяват с различно темпо в зависимост от производителя, модела и мобилния оператор. След инсталирането може да е необходимо и рестартиране, за да влезе корекцията в сила.

За организациите, които използват Android устройства за служебна комуникация, случаят е напомняне, че мобилната сигурност не се изчерпва със защитата от фишинг и злонамерени приложения. Уязвимост в компонент, който обработва съобщения на системно ниво, може да засегне основна функция на устройството, без потребителят да предприеме каквото и да е действие.

„SMS of Death“ показва колко сериозни могат да бъдат грешките в обработката на входящи данни в мобилна операционна система. Когато подобен проблем може да прекъсне дори спешно обаждане, актуализациите за сигурност вече не са просто препоръчителна поддръжка, а съществена част от надеждността на комуникациите.