Ing. Calogero Bono
細工されたWAP Pushメッセージ1通で、Androidスマートフォンの通話機能がクラッシュし、通話が切れ、場合によっては再起動が繰り返されることがあります。この脆弱性はCVE-2026-58882と呼ばれ、10月29日に研究者Mark Blaszczykによって公開されました。何かを開く必要はなく、Googleの修正もすべてのバージョンはカバーしていません。会社で端末を管理している人にとっては現実的な問題です。
事実に入る前に、いくつかの用語を確認しておきます。 CVEは既知の脆弱性を一意に識別するためのコードです。WAP Pushはシステムが自動で処理するメッセージの一種で、SMSの受信箱には表示されないこともあります。Denial of serviceはデータを盗むのではなく、端末の機能を止める攻撃を指します。Bootloopは再起動を延々と繰り返す状態です。ADBはパソコンからAndroid端末を操作するためのツールです。
SMS of Deathとは何か、どのように機能するのか？
DDayによれば、この脆弱性はWAP Pushメッセージの処理に関わり、Androidの通話フレームワークが直接処理します。不正な形式のメッセージによってcom.android.phoneプロセスがクラッシュし、端末は一時的にモバイル通信を失います。
Punto Informaticoが伝えるところでは、改ざんされたヘッダーには負の値（-2,147,483,648）が含まれ、メモリ割り当ての際に例外を引き起こします。これはSMSが受信箱に届く前に起きるため、被害者は不審な点に気づきません。
1通のメッセージでどれほどの被害が出るのか？
1回のクラッシュは数秒で済みます。Androidが通話プロセスを再起動するためです。ただし、その瞬間に通話中であれば切断され、緊急サービスへの通話も含まれます。
通信事業者が再送を試みたり、内容がキューに残って再処理されたりすると、問題は繰り返されます。HDblogによれば、20通のメッセージで再起動のループを引き起こせたとのことです。Android 12の端末では、約90秒ごとにリカバリーモードへ入ったと報告されています。
元に戻すには初期化が必要でした。研究者は問題のあるメッセージを削除するADBの手順も説明していますが、パソコンと技術的な知識が必要です。
データは危険にさらされるのか？
DDayによれば、そうではありません。この脆弱性ではパスワードや写真、その他の個人データを盗むことはできません。モバイル通信を狙ったDoS攻撃です。
同じくDDayによれば、現時点でこれを利用した大規模なキャンペーンは確認されていません。研究者は5月5日にGoogleへ報告し、Google PixelとSamsung Galaxyで攻撃を再現したうえで、10月29日に詳細を公開しました。
誰が保護され、誰が危険にさらされたままか？
研究者の説明によれば、修正は6月に作成され、10月のアップデートでAndroid 14から17に配布されました。サポート期間中のPixelでは、パッチレベルは2026年10月5日です。
Android 12と13には脆弱なコードが含まれていますが、サポート終了のため修正は配布されていません。メーカーのアップデートを受けられない端末は危険にさらされています。Punto Informaticoは、アップデートが届いた端末は少数だと指摘しています。この状況はAndroid 17の普及の遅さのデータとも重なります。
知っておくべき制限
CVE-2026-58882は、10月のAndroidセキュリティ速報には明示的に掲載されていません。同速報ではフレームワークに関する別のDoS脆弱性が挙げられています。修正の日付やパッチ適用済み端末の保護状況は、Googleによる確認ではなく研究者の再現に基づく情報です。実際に何台の端末が影響を受けるのか、標的型の悪用があるのかは分かっていません。
デジタルを扱う人にとっての変化
従業員に端末を支給している企業にとってのリスクは、情報漏えいよりも通話と連絡手段が途絶えることです。使用しているモデルとAndroidのバージョンを把握しておくことが大切です。Android 12と13の端末は、パッチが適用されない限り影響を受ける可能性があると考えるべきです。パッチ管理は端末だけでなくWebサイトにも必要で、その考え方はCVEの監視の記事でも取り上げています。
編集部の見解
この事例は、Androidの構造的な限界を示しています。修正は数か月前から存在していますが、メーカーが配信しなかったり、端末がサポート外になったりすれば、その効果は失われます。10月の速報にこの識別子が含まれていない点も、端末の状況を確認する作業を難しくしています。リスクは限定的ですが、緊急通報に影響が及ぶ点で深刻です。
よくある質問
SMSを開かないと攻撃されませんか？
はい、開く必要はありません。攻撃はシステムがメッセージを処理する段階で発動します。リンクをタップしたり添付ファイルをダウンロードしたりする必要もありません。
SMS of Deathで個人データは盗まれますか？
DDayによれば、パスワードや写真、個人データを盗むことはできません。目的は端末の機能、特にモバイル通信を止めることです。
どのバージョンのAndroidが保護されていますか？
研究者によれば、10月のパッチを適用したAndroid 14、15、16、17は保護されています。Android 12と13は脆弱なコードを含み、修正も受け取っていません。
bootloopになったらどうすればいいですか？
初期化によって復旧しますが、データは消去されます。別の方法として、問題のあるメッセージを削除するADBの手順がありますが、パソコンと技術的な知識が必要です。
緊急通報も切れてしまいますか？
はい。情報源によれば、クラッシュによって通話中の通話は切断され、緊急サービスへの通話も含まれます。1回のクラッシュは数秒程度です。
今後数週間、Androidのパッチで確認すべきこと
重要なのは、実際に端末へ届くアップデートです。次の点を確認しておくとよいでしょう。
- アップデート済みの端末に、10月以降のパッチレベルが表示されているか確認してください。
- Googleがセキュリティ速報にCVE-2026-58882を追加するかどうかを追ってください。
- Android 12と13の端末で、もはやアップデートを受け取れないものは交換するか、ネットワークから隔離してください。
