Ing. Calogero Bono
Одно подменённое сообщение WAP Push способно обрушить телефонию смартфона на Android, оборвать звонки и, в некоторых случаях, вызвать непрерывные перезагрузки. Уязвимость называется CVE-2026-58882, а её опубликовал 29 октября исследователь Mark Blaszczyk. Ничего открывать не нужно, и исправление Google покрывает не все версии. Для тех, кто выдаёт телефоны сотрудникам, тема вполне практическая.
Несколько терминов, прежде чем перейти к фактам. CVE — код, однозначно обозначающий известную уязвимость. WAP Push — тип сообщения, которое система обрабатывает автоматически и которое может не появиться в списке SMS. Denial of service — атака, которая не крадёт данные, а мешает устройству работать. Bootloop — цикл непрерывных перезагрузок. ADB — инструмент для работы с Android-телефоном с компьютера.
Что такое SMS of Death и как она работает?
По данным DDay, уязвимость касается обработки сообщений WAP Push, которые напрямую обрабатывает фреймворк телефонии Android. Искажённое сообщение обрушивает процесс com.android.phone, и телефон на несколько мгновений теряет сотовую сеть.
Как сообщает Punto Informatico, в изменённом заголовке стоит отрицательное значение (-2.147.483.648), которое при выделении памяти вызывает исключение. Всё происходит до того, как сообщение появится среди прочих, поэтому жертва ничего подозрительного не видит.
Какой ущерб может нанести одно сообщение?
Единичный сбой длится несколько секунд, поскольку Android перезапускает телефонный процесс. Но если в этот момент идёт звонок, он обрывается, в том числе вызов в экстренные службы.
Проблема повторяется, если оператор снова пытается доставить сообщение или если содержимое остаётся в очереди и обрабатывается заново. HDblog сообщает, что для запуска цикла перезагрузок хватает 20 сообщений. На устройстве с Android 12 телефон уходил в режим восстановления примерно каждые 90 секунд.
Чтобы вернуть его к работе, понадобился сброс до заводских настроек. Исследователь описал и процедуру через ADB для удаления проблемных сообщений, но она требует компьютера и технических навыков.
Есть ли риск для данных?
Нет, по словам DDay. Уязвимость не позволяет украсть пароли, фото или другие личные данные. Это атака типа denial of service, направленная на сотовое соединение.
По тем же данным DDay, массовых кампаний с её использованием пока не выявлено. Исследователь сообщил о ней Google 5 мая и опубликовал подробности 29 октября, после того как воспроизвёл атаку на Google Pixel и Samsung Galaxy.
Кто защищён, а кто остаётся под угрозой?
Исправление, по реконструкции исследователя, было готово в июне и распространялось вместе с октябрьскими обновлениями для Android с 14 по 17. Для Pixel, которые ещё поддерживаются, уровень патча — 5 октября 2026.
Android 12 и 13 содержат уязвимый код, но исправление для них не выпускалось, так как системы сняты с поддержки. Те, кто остался на них без обновлений производителя, подвержены риску. Punto Informatico отмечает, что обновление дошло до немногих устройств. Картина напоминает данные о медленном распространении Android 17.
Ограничения, которые стоит знать
Код CVE-2026-58882 прямо не указан в октябрьском бюллетене безопасности Android, хотя там перечислены другие DoS-уязвимости фреймворка. Дата исправления и защита пропатченных устройств взяты из реконструкции исследователя, а не из подтверждения Google в источниках. Мы не знаем, сколько телефонов действительно уязвимо и были ли целевые атаки.
Что меняется для тех, кто работает с цифровыми сервисами
Для компании, которая выдаёт телефоны сотрудникам, риск — это обрыв звонков и недоступность, а не утечка данных. Стоит понимать, какие модели и версии Android у вас в работе. Устройства с Android 12 или 13 стоит считать уязвимыми, пока на них нет патча. Управление обновлениями нужно не только для телефонов, та же дисциплина требуется и для сайтов, о чём мы рассказываем в тексте о мониторинге CVE.
Наше мнение
Этот случай показывает давнюю проблему Android. Исправление существует уже несколько месяцев, но преимущество разработчиков теряется, если производитель его не раздаёт или телефон снят с поддержки. Удивляет, что идентификатора нет в октябрьском бюллетене, что усложняет проверку состояния устройств. Риск ограниченный, но затрагивание экстренных звонков делает его серьёзным.
Частые вопросы
Нужно ли открывать SMS, чтобы пострадать?
Нет. Уязвимость срабатывает при обработке сообщения системой. Открывать его, нажимать ссылки или скачивать вложения не требуется.
Крадёт ли SMS of Death мои данные?
Нет. По данным DDay, она не позволяет украсть пароли, фото или личные данные. Её цель — нарушить работу телефона, прежде всего сотовую связь.
Какие версии Android защищены?
Android 14, 15, 16 и 17 с патчем за октябрь, по словам исследователя. Android 12 и 13 содержат уязвимый код и исправление не получили.
Что делать, если телефон ушёл в bootloop?
Сброс до заводских настроек помогает, но стирает данные. Есть и процедура через ADB для удаления проблемных сообщений, но она требует компьютера и технических навыков.
Обрываются ли экстренные вызовы?
Да. По сообщениям источников, сбой прерывает текущие звонки, в том числе вызовы в экстренные службы. Сам сбой длится несколько секунд.
На что смотреть в ближайшие недели с патчами Android
Всё решают обновления, которые реально доходят до телефонов. Стоит следить за несколькими сигналами.
- Проверь, что обновлённые телефоны показывают уровень патча за октябрь или более поздний.
- Следи, появится ли CVE-2026-58882 в бюллетенях безопасности Google.
- Замени или изолируй устройства с Android 12 и 13, которые больше не получают обновлений.
