В операционной системе Android обнаружена серьёзная уязвимость, позволяющая нарушить работу смартфона с помощью всего одного специально подготовленного SMS-сообщения. Проблема получила неофициальное название SMS of Death («СМС смерти») и зарегистрирована под идентификатором CVE-2026-58882. Для проведения атаки злоумышленнику не требуется взаимодействие с владельцем устройства: вредоносные данные обрабатываются системой автоматически, ещё до появления сообщения во входящих.

Наиболее серьёзная опасность угрожает смартфонам с Android 12 и 13, которые, согласно опубликованным сведениям, не получили соответствующего исправления. Атака способна вызвать аварийное завершение системного процесса, отвечающего за мобильную связь, из-за чего пользователь может потерять возможность совершать и принимать звонки, в том числе экстренные. Google уже выпустила исправления для более новых версий Android, однако владельцам устаревших устройств необходимо учитывать сохраняющийся риск.

Уязвимость срабатывает без участия пользователя

Подробности проблемы раскрыл специалист по информационной безопасности Марк Блах (Mark Blah). Исследователь установил, что ошибка в механизме обработки определённого типа SMS позволяет удалённо вызвать сбой одного из важных компонентов Android.

Особенность атаки заключается в использовании механизма zero-click. В отличие от распространённых мошеннических схем, злоумышленнику не нужно убеждать человека перейти по ссылке, открыть вложение или установить приложение.

Достаточно доставить на уязвимый смартфон специально сформированное сообщение.

При этом SMS может даже не появиться в стандартном приложении для переписки. Его содержимое обрабатывается системными службами на более раннем этапе, поэтому установить причину неожиданного отключения связи обычному пользователю будет непросто.

Уязвимость относится к категории отказа в обслуживании (Denial of Service, DoS). Её основная опасность заключается в нарушении доступности функций устройства, а не в подтверждённой возможности похищения данных или получения контроля над смартфоном.

Ошибка в обработке WAP Push приводит к системному сбою

Причина уязвимости связана с некорректной проверкой данных в компоненте Android, отвечающем за обработку сообщений формата WAP Push.

Такие сообщения используются для передачи служебной информации через мобильную сеть и могут обрабатываться операционной системой без непосредственного участия владельца устройства.

Проблема обнаружена в функции WapPushOverSms.decodeWapPdu, которая занимается декодированием поступающих данных.

При обработке специально сформированного восьмибайтового сообщения система неправильно интерпретирует значение длины заголовка. В процессе преобразования данных в 32-битное целое число со знаком отсутствует необходимая проверка допустимого диапазона.

В результате вычислений может возникнуть отрицательное значение, которое затем используется при операции выделения памяти.

Это приводит к исключению NegativeArraySizeException и аварийному завершению процесса com.android.phone.

Именно этот системный компонент участвует в обеспечении телефонных функций Android, поэтому его сбой способен непосредственно повлиять на работу сотовой связи.

Смартфон может потерять связь во время разговора

Последствия эксплуатации CVE-2026-58882 могут оказаться значительно серьёзнее обычного зависания приложения.

При аварийном завершении телефонного процесса нарушается работа мобильной связи. Если в момент атаки пользователь разговаривает по телефону, соединение может неожиданно оборваться.

Особую тревогу вызывает возможность прерывания вызовов экстренных служб. В критической ситуации подобный сбой способен помешать своевременному обращению за помощью.

Кроме того, исследователь предупреждает о вероятности повторных сбоев.

Например, оператор мобильной связи может попытаться повторно доставить сообщение, которое ранее не удалось корректно обработать. В таком случае ошибка способна возникнуть снова.

Аналогичная ситуация возможна, если вредоносные данные сохранились в памяти смартфона и система повторно обращается к ним.

В наиболее тяжёлых случаях это может привести к циклическим сбоям телефонной службы, существенно ограничивающим возможность нормального использования устройства.

При этом опубликованные сведения не подтверждают, что атака способна физически повредить смартфон или необратимо уничтожить его аппаратную часть.

Android 12 и 13 остались без исправления

По информации исследователя, Google устранила уязвимость в октябрьском пакете обновлений безопасности Android за 2026 год.

Исправления предусмотрены для поддерживаемых версий операционной системы, начиная с Android 14 и заканчивая Android 17.

Однако смартфоны, работающие под управлением Android 12 и Android 13, остаются в потенциально опасном положении.

Для этих версий соответствующее исправление в рамках указанных обновлений не предоставлялось. Это особенно важно для владельцев устройств, производители которых уже прекратили выпуск системных патчей.

Следует учитывать, что фактическая защищённость конкретного смартфона зависит не только от версии Android, но и от обновлений производителя, особенностей прошивки и установленных исправлений безопасности.

Поэтому владельцам старых моделей стоит проверить доступность обновлений непосредственно в настройках устройства.

Исследователь продемонстрировал работоспособность атаки

Марк Блах не ограничился теоретическим описанием обнаруженной ошибки.

Специалист подготовил демонстрационный эксплойт, подтверждающий возможность отправки вредоносных сообщений с другого устройства на базе Android.

Публикация такого proof-of-concept показывает, что проблема имеет практическое значение и не сводится исключительно к ошибке, обнаруженной при анализе исходного кода.

Вместе с тем наличие демонстрационного инструмента само по себе не свидетельствует о массовом использовании уязвимости злоумышленниками.

Если вредоносное сообщение уже вызвало повторяющиеся сбои, в отдельных случаях проблему можно устранить удалением соответствующих данных через Android Debug Bridge (ADB).

Однако подобная процедура требует технических знаний и не подходит большинству обычных пользователей. Кроме того, неправильное использование отладочных инструментов может привести к дополнительным проблемам.

Как защитить Android-смартфон от SMS of Death

Основной способ защиты — установка актуальных обновлений операционной системы и исправлений безопасности.

Пользователям рекомендуется открыть настройки смартфона, перейти в раздел обновления программного обеспечения и проверить наличие доступных пакетов.

Особое внимание стоит уделить дате установленного обновления безопасности Android.

Владельцам устройств с Android 12 и 13 необходимо выяснить, продолжает ли производитель поддерживать их модель. Если официальные исправления больше не выпускаются, риск эксплуатации подобных уязвимостей может сохраняться.

Важно понимать, что обычные меры предосторожности, такие как отказ от перехода по подозрительным ссылкам или удаления неизвестных SMS, в данном случае не обеспечивают полноценной защиты. Атака происходит до того, как пользователь получает возможность взаимодействовать с сообщением.

Обнаружение CVE-2026-58882 ещё раз демонстрирует, что устаревшие версии Android могут содержать опасные ошибки даже в базовых системных механизмах.

Особенно неприятно то, что уязвимость затрагивает не дополнительные функции смартфона, а непосредственно телефонную связь. Поэтому регулярное обновление системы остаётся важным условием безопасности, а для устройств с прекращённой поддержкой вопрос перехода на более современную модель становится всё более актуальным.