Ing. Calogero Bono
Jedna zmanipulowana wiadomość WAP Push może spowodować awarię telefonii na smartfonie z Androidem, przerwać połączenia i w niektórych przypadkach wywołać ciągłe restarty. Luka nosi nazwę CVE-2026-58882 i została ujawniona 29 października przez badacza Marka Blaszczyka. Nie trzeba otwierać żadnego elementu, a poprawka Google nie obejmuje wszystkich wersji. Dla osób zarządzających firmowymi telefonami problem jest realny.
Kilka pojęć, zanim przejdziemy do faktów. CVE to kod, który jednoznacznie identyfikuje znaną podatność. WAP Push to rodzaj wiadomości, którą system przetwarza automatycznie i która może nie pojawić się w skrzynce SMS. Denial of service oznacza atak, który nie kradnie danych, ale uniemożliwia urządzeniu działanie. Bootloop to cykl ciągłych restartów. ADB to narzędzie z komputera, za pomocą którego komunikujesz się z telefonem z Androidem.
Czym jest SMS of Death i jak działa?
Według DDay luka dotyczy obsługi wiadomości WAP Push, przetwarzanych bezpośrednio przez framework telefonii Androida. Źle sformatowana wiadomość powoduje awarię procesu com.android.phone i telefon na kilka chwil traci łączność komórkową.
Jak podaje Punto Informatico, zmieniony nagłówek zawiera wartość ujemną (-2.147.483.648), która podczas alokacji pamięci generuje wyjątek. Wszystko dzieje się zanim SMS trafi na listę wiadomości, więc ofiara nie widzi niczego podejrzanego.
Jakie szkody może wyrządzić jedna wiadomość?
Pojedyncza awaria trwa kilka sekund, bo Android restartuje proces telefoniczny. Jeśli jednak w tym czasie trwa połączenie, zostaje przerwane, także to z numerami alarmowymi.
Problem powtarza się, jeśli operator ponownie spróbuje dostarczyć wiadomość albo jeśli treść pozostaje w kolejce i jest przetwarzana na nowo. HDblog donosi, że do wywołania pętli restartów wystarczy 20 wiadomości. Na urządzeniu z Androidem 12 telefon wchodził w tryb odzyskiwania mniej więcej co 90 sekund.
Aby znów go używać, potrzebne było przywrócenie ustawień fabrycznych. Badacz opisał też procedurę przez ADB do usuwania problematycznych wiadomości, ale wymaga ona komputera i wiedzy technicznej.
Czy zagrożone są dane?
Nie, według DDay. Luka nie pozwala ukraść haseł, zdjęć ani innych danych osobowych. To atak typu denial of service, skierowany na łączność komórkową.
Według tego samego źródła na razie nie zidentyfikowano kampanii na dużą skalę, które by ją wykorzystywały. Badacz zgłosił ją Google 5 maja, a szczegóły opublikował 29 października, po odtworzeniu ataku na Google Pixel i Samsung Galaxy.
Kto jest chroniony, a kto pozostaje narażony?
Poprawka, według relacji badacza, powstała w czerwcu i trafiła do aktualizacji października dla Androida od 14 do 17. W przypadku Pixeli, które nadal otrzymują wsparcie, poziom łatek to 5 października 2026.
Androidy 12 i 13 zawierają podatny kod, ale poprawka nie została wydana, bo systemy są już poza wsparciem. Kto korzysta z nich bez aktualizacji producenta, pozostaje narażony. Punto Informatico zauważa, że aktualizacja dotarła tylko do nielicznych urządzeń. Całość przypomina dane o powolnym rozpowszechnianiu Androida 17.
Ograniczenia, o których warto wiedzieć
Kod CVE-2026-58882 nie pojawia się wprost w październikowym biuletynie bezpieczeństwa Androida, choć wymienia inne luki DoS w strukturze systemu. Datę poprawki i ochronę zaktualizowanych urządzeń podaje badacz, a nie potwierdza je Google w źródłach. Nie wiemy, ile telefonów jest rzeczywiście narażonych ani czy istnieją ukierunkowane ataki.
Co się zmienia dla osób pracujących w cyfrowym otoczeniu
Dla firmy, która wydaje telefony pracownikom, zagrożeniem jest przerwanie połączeń i dostępności, a nie wyciek danych. Warto wiedzieć, jakie modele i wersje Androida są w użyciu. Urządzenia z Androidem 12 lub 13 należy uznać za narażone, dopóki nie dostaną poprawki. Zarządzanie łatkami dotyczy nie tylko telefonów, tę samą dyscyplinę wymagają strony, o czym piszemy przy okazji monitorowania CVE.
Nasza opinia
Ten przypadek pokazuje historyczną słabość Androida. Poprawka istnieje od miesięcy, ale korzyść wynikająca z jej przygotowania przepada, jeśli producent jej nie dystrybuuje albo telefon nie ma już wsparcia. Zastanawia też, że identyfikatora nie ma w październikowym biuletynie, co utrudnia sprawdzenie stanu własnych urządzeń. Ryzyko jest ograniczone, ale wpływ na połączenia alarmowe czyni je poważnym.
Często zadawane pytania
Czy muszę otworzyć SMS, żeby zostać dotkniętym?
Nie. Luka aktywuje się podczas przetwarzania wiadomości przez system. Nie trzeba jej otwierać, klikać linków ani pobierać załączników.
Czy SMS of Death kradnie moje dane?
Nie. Według DDay nie pozwala ukraść haseł, zdjęć ani danych osobowych. Ma na celu uniemożliwienie działania telefonu, zwłaszcza łączności komórkowej.
Które wersje Androida są chronione?
Android 14, 15, 16 i 17 z październikową łatą, według badacza. Androidy 12 i 13 zawierają podatny kod i nie otrzymały poprawki.
Co zrobić, gdy telefon wpada w bootloop?
Przywracanie ustawień fabrycznych działa, ale kasuje dane. Istnieje też procedura ADB do usunięcia problematycznych wiadomości, która wymaga komputera i wiedzy technicznej.
Czy przerywane są także połączenia alarmowe?
Tak. Źródła podają, że awaria przerywa trwające połączenia, także z numerami służb ratunkowych. Pojedyncza awaria trwa kilka sekund.
Na co zwrócić uwagę w najbliższych tygodniach w kwestii łatek Androida
Rozstrzygnie się to na aktualizacjach, które faktycznie docierają do telefonów. Warto obserwować kilka sygnałów.
- Sprawdzaj, czy zaktualizowane telefony pokazują październikowy poziom łatek lub nowszy.
- Obserwuj, czy Google umieści CVE-2026-58882 w biuletynach bezpieczeństwa.
- Wymień lub odizoluj urządzenia z Androidem 12 i 13, które nie otrzymują już aktualizacji.
