Исследователь Марк Блах опубликовал proof-of-concept эксплойт для уязвимости Android, получившей название «SMS of Death» и номер CVE-2026-58882. Атака не требует взаимодействия с владельцем телефона: вредоносное сообщение обрабатывается системой ещё до попадания в папку входящих SMS.
Проблема связана с некорректной проверкой длины заголовка в функции WapPushOverSms.decodeWapPdu. Восьмибайтовое WAP Push-сообщение, отправленное как data SMS на порт 2948, интерпретируется Android как отрицательное число. При попытке выделить память возникает исключение NegativeArraySizeException, и процесс com.android.phone аварийно завершается.
Этот процесс отвечает за сотовую связь. Его падение разрывает активные вызовы — включая звонки в экстренные службы — и временно отключает мобильную сеть. Повторная доставка вредоносного сообщения оператором или обработка уже сохранённых SMS может вызывать новые сбои.
В тестах исследователя отправка 20 таких сообщений приводила к циклической перезагрузке устройств. На одном смартфоне с Android 12 аппарат уходил в recovery-режим примерно каждые 90 секунд. Восстановление требовало полного сброса до заводских настроек.
Google выпустила исправление в октябрьском обновлении безопасности для Android 14–17, однако в бюллетене оно не указано. Устройства на Android 12 и 13 обновление не получили и остаются под угрозой. Доступность патча зависит от производителя и оператора связи, а для его применения может потребоваться перезагрузка.
Удалить вредоносные сообщения можно через Android Debug Bridge, но этот способ требует компьютера и технических навыков. Публикация рабочего эксплойта повышает вероятность реальных атак, поэтому владельцам поддерживаемых устройств стоит проверить наличие октябрьского обновления безопасности и установить его как можно скорее.
