„SMS на смъртта“ срива непоправени Android телефони

Изследователят по сигурността Марк Блащик публикува на 29 октомври уязвимост в Android, която кръсти „SMS на смъртта“. С едно-единствено специално съставено текстово съобщение атакуващият може дистанционно да срине телефонната услуга на непоправен Android — без потребителят да докосне каквото и да било и без съобщението изобщо да се появи във входящата кутия. Дупката носи обозначението CVE-2026-58882 и засяга версиите от Android 12 до 17, като старите 12 и 13 остават без кръпка. Новината първо беше описана от BleepingComputer.

Какво се случва на телефона

Атаката е zero-click — жертвата не отваря нищо и не вижда нищо. Android обработва съобщението, преди то да стигне до входящата кутия, така че потребителят няма никаква видима индикация защо телефонът му изведнъж се срива. На практика пада процесът com.android.phone, който отговаря за телефонията. Това прекъсва всеки активен разговор — включително обаждане към спешните служби.

Единичното съобщение сваля услугата за момент. Но ако атакуващият изпрати около 20 такива съобщения, устройството влиза в цикъл на рестарти. По данни на изследователя тестван телефон с Android 12 се е рестартирал в recovery режим приблизително на всеки 90 секунди — което прави апарата практически неизползваем, докато потокът от съобщения не спре или данните не бъдат изчистени.

Къде е грешката

Проблемът е в начина, по който Android разчита WAP Push съобщенията — остатък от стар протокол за известия, който и днес се обработва по подразбиране. Методът WapPushOverSms.decodeWapPdu() чете дължината на хедъра като число и я преобразува към 32-битов signed integer без да проверява границите.

Злонамереното съобщение е само осем байта, изпратени като data SMS към порт 2948:

01 06 88 80 80 80 00 BE  ->  порт 2948

Петте байта 88 80 80 80 00 се декодират до 0x80000000. Преобразувани към signed 32-бит, те стават -2147483648. Когато кодът се опита да задели масив с тази „дължина“ (new byte[-2147483648]), се хвърля необработено изключение NegativeArraySizeException и процесът на телефонията се сгромолясва. Класически denial of service — без кражба на данни и без изпълнение на код, но достатъчно, за да извади апарата от строя.

Блащик е публикувал и работещ proof-of-concept на GitHub под Apache 2.0, който изпраща отровеното съобщение от едно устройство към друго.

Снимка: Google

Кой е защитен и кой не

Google е получил сигнала на 5 май 2026 г., а инженер е написал кръпката на 15 юни. Поправката — „Fix remote DoS in decodeWapPdu“ — улавя изключението и изтрива злонамереното съобщение от базата данни на SMS-ите, за да не предизвиква повторни сривове.

Кръпката влезе в октомврийските ъпдейти за сигурност на Android за версии от 14 до 17, макар че по неясни причини не беше изрично изброена в бюлетина за октомври. Ако телефонът ви е на Android 14 или по-нов и има инсталирана кръпка от октомври 2026 г. или по-късна, вие сте защитени.

Проблемът е с Android 12 и 13. Google вече не поддържа тези версии, така че официална поправка не се очаква — освен ако конкретен производител не реши да я направи сам. А според различни оценки милиони устройства по света още работят на тези издания, особено сред по-евтините и по-старите апарати.

Защо е сериозно

На пръв поглед „само DoS“ звучи безобидно — няма откраднати пароли, няма инсталиран малуер. Но прекъсването на разговор към спешните служби в критичен момент е реална опасност за хората, а възможността отдалечен нападател да блокира нечий телефон само като знае номера му отваря врата за тормоз и целенасочени атаки.

Това е и поредно напомняне, че периметърът на мобилните устройства включва и забравени стари протоколи. Подобно на трите дупки в Ivanti Connect Secure, които дават root без автентикация, и тук цената за липсата на една проста проверка на входните данни е непропорционално голяма.

Практичният извод е прост: ако апаратът ви получава ъпдейти, инсталирайте октомврийската кръпка. Ако е на Android 12 или 13 без перспектива за обновяване, това е още една причина да помислите за по-нов телефон — старите версии вече не само че изостават, а остават трайно отворени за атаки като тази.