В открытом доступе появился рабочий эксплойт для уязвимости в телекоммуникационном компоненте Android. Специально оформленное SMS вызывает аварийное завершение системного процесса телефонной связи, поэтому обрывается активный вызов, включая звонок в экстренные службы. После серии таких сбоев аппарат уходит в циклическую перезагрузку и предлагает сброс к заводским настройкам. Затронуты телефоны на Android 12 и новее, причём исправление выпущено не для всех из них.
CVE-2026-58882 в обработке WAP Push-сообщений Android
Уязвимость получила кодовое имя SMS of Death. Отчёт о ней поступил в программу Android 5 мая 2026 года, публичное раскрытие состоялось 29 октября 2026 года. По данным GrapheneOS, Google обработала обращение некорректно и закрыла его без исправления: вероятно, из-за внутреннего недопонимания, а возможно, отчёт посчитали дубликатом. Компания GrapheneOS включила соответствующий патч в свои предварительные сборки безопасности начиная с релиза 2026072901. Запись CVE зарезервирована 2 июля 2026 года и опубликована 2 ноября 2026 года.
Числовой оценки CVSS в источниках нет. GrapheneOS указывает, что уязвимости присвоен уровень Critical в ноябрьском бюллетене безопасности Android за 2026 год, хотя, по описанию авторов эксплойта, исправление вошло в октябрьский выпуск. Слабость в записи CVE отнесена к отказам в обслуживании. Условия атаки просты: сообщение отправляется удалённо, учётные данные не нужны, участие пользователя не требуется. Сведений об эксплуатации в реальных атаках нет, опубликован исследовательский эксплойт.
Причина сбоя - переполнение целого числа при разборе заголовка WAP Push-сообщения. WAP Push - служебный тип SMS, который доставляет на телефон ссылки и настройки от оператора. Длину заголовка обработчик читает как беззнаковое число переменной длины, а затем приводит к знаковому 32-разрядному целому без проверки границ. Значение выше допустимого предела становится отрицательным, и попытка выделить под заголовок область памяти отрицательного размера вызывает исключение. Исключение не перехватывается, поэтому процесс телефонной связи падает.
Дальше срабатывает механика повторных попыток. Проблемное сообщение остаётся в очереди необработанных и проверяется при каждой загрузке. После нескольких падений системный механизм восстановления RescueParty перезагружает аппарат в режим восстановления с предложением сбросить данные. Обычная перезагрузка не помогает: примерно через 90 секунд устройство уходит в перезагрузку снова.
Оператор связи усиливает эффект. Подтверждение о получении WAP Push-сообщения не отправляется, поскольку процесс, который должен его отправить, уже завершился аварийно. Поэтому оператор повторяет доставку: в тестах повторы шли от суток до недели. По оценке автора, около 20 сообщений надолго выводят аппарат из строя.
Аварийное завершение автор воспроизвёл на версиях с Android 12 по Android 16. Запись CVE перечисляет затронутыми Android 14, 15, 16, 16-qpr2 и 17. При этом сам автор относит к уязвимым всю линейку с 12 по 17.
Исправление вышло в октябрьском обновлении репозитория AOSP - набора открытых исходников Android. Патч закрывает проблему для Android 14-17, а производители устройств получили к нему доступ ещё в июле. Google пошла не по пути проверки длины, а расширила перехват исключения и добавила удаление сбойного сообщения из очереди, чтобы оно не роняло телефон повторно. Номер исправленной версии в записи CVE не указан.
Устройства на Android 12 и 13 остаются без патча. Для них и для аппаратов, чьи производители прекратили выпуск прошивок, остаётся обращение к оператору с просьбой блокировать передачу WAP Push-сообщений на стороне сети. Штатных обходных мер вендор не привёл.
Владельцам телефонов на Android 14-17 нужно установить обновление с октябрьским или более поздним уровнем патча. Если аппарат уже в цикле перезагрузок, помогает сброс к заводским настройкам. Менее разрушительный вариант - удалить сбойные записи из очереди необработанных SMS через отладочный мост ADB (Android Debug Bridge) в короткое окно после загрузки. В меню восстановления при этом не надо выбирать очистку данных. Удаление записей лишь даёт возможность извлечь SIM-карту, загрузиться и поставить прошивку с исправлением.
Для пользователя без обновления последствие одно: он теряет связь, включая возможность позвонить в экстренные службы, и восстанавливает телефон вручную. Один отправитель с обычным аппаратом добивается этого единственным сообщением.
Ссылки
- https://www.cve.org/CVERecord?id=CVE-2026-58882
- https://x.com/GrapheneOS/status/2115863487381704935
- https://github.com/MarkBlah/smsofdeath
- https://smsofdeath.com/
- https://android.googlesource.com/platform/frameworks/opt/telephony/+/735d9672603fa206c4b43cb668c1aa273db70b97
