В открытом доступе появился рабочий эксплойт, то есть код, использующий уязвимость, для подсистемы телефонии Android. На GitHub выложены демонстрационное приложение и его исходный код; приложение формирует восьмибайтовое служебное WAP Push-сообщение и отправляет его по SMS на выбранный номер. Получателю ничего делать не нужно: процесс телефонии падает, и активный вызов обрывается. Уязвимость затрагивает Android 14-17, исправления вошли в октябрьское обновление 2026 года.
Как устроен эксплойт для WAP Push
WAP Push - служебное сообщение, которое доставляется сразу в приложение телефона, минуя почтовый ящик. Поэтому такое сообщение не появляется в переписке и не раскрывает номер отправителя. Об уязвимости сообщил исследователь Mark B: 5 мая 2026 года он передал данные через программу Google Android and Devices Vulnerability Reward Program, а 29 октября опубликовал техническое раскрытие. Сведений об использовании в реальных атаках в раскрытии нет: описан отказ в обслуживании, без выполнения кода и без кражи данных. Оценку по CVSS и уровень опасности в раскрытии не приводят.
Служебные сообщения попадают в подсистему телефонии через порт 2948 - этот номер отделяет их от обычных текстовых сообщений. Разбор начинается с чтения длины заголовка сессионного протокола WAP. Это целое число переменной длины, и результат приводят к 32-битному знаковому целому, не проверяя, укладывается ли он в диапазон. Слишком большое значение после приведения становится отрицательным. Дальше его используют как размер массива, разбор аварийно завершается необработанным исключением о недопустимом размере, и процесс телефонии останавливается.
Атака идёт по сети, учётные данные не нужны, участие пользователя не требуется - это атака без взаимодействия с жертвой, или zero-click. Приложение-отправитель запрашивает права на отправку SMS, чтение номера и состояния телефона, поэтому запустить его можно с обычного аппарата. При этом сам код не выполняет произвольные команды и не крадёт данные: как сказано в раскрытии, речь идёт только об отказе в обслуживании.
В тестах исследователя одно сообщение давало перебои связи на одну-две секунды. Повторная доставка от оператора усиливает эффект: непринятое сообщение приходит снова и снова останавливает процесс. На Pixel 9 с апрельской прошивкой 2026 года и на нескольких устройствах Samsung Galaxy одно сообщение вызывало перебои длительностью до недели. Около 20 сообщений надолго делали аппарат непригодным. Эти результаты получены в тестах исследователя и не описывают все модели Android.
Очередь недоставленных сообщений вызывает падение и после перезагрузки. В раскрытии описан случай на Android 12: устройство повторно загружалось в режиме восстановления. Очистка очереди через Android Debug Bridge вернула работоспособность без сброса к заводским настройкам, но потребовала технического доступа.
Исправление отличается от того, что предлагал исследователь. Google расширил обработку исключений, чтобы перехватывать сбои во время работы, и добавил очистку сообщений, которые вызывают падение. Проверку границ длины заголовка, на которой настаивал автор раскрытия, вендор не добавлял. Администраторам нужно ставить октябрьское обновление 2026 года или более позднюю сборку от производителя устройства: сроки выпуска у каждого изготовителя свои.
Автор PoC предупреждает, что приложение может прервать вызов экстренных служб. Применение против чужих устройств он называет преступлением; в репозитории код разрешён только для тестов на своих аппаратах и на устройствах с согласия владельца.
Раскрытие расширяет круг мест в Android, где для атаки не нужно участие пользователя. Последствия при этом ограничены потерей связи, включая вызовы экстренных служб, и возможной недоступностью аппарата на длительный срок.
Ссылки
