В Android нашли уязвимость, ломающую смартфон через невидимое SMS

Как пишет Kod.ru, для атаки используется служебное WAP Push SMS, которое система разбирает автоматически. Владелец его не видит: сообщение не попадает в приложение для SMS, уведомления нет, номер отправителя не отображается. При обработке такого сообщения падает системный процесс, который среди прочего отвечает за телефонную связь, и идущий звонок обрывается, в том числе вызов экстренных служб. По данным 3DNews, ссылающегося на BleepingComputer, уязвимости присвоен идентификатор CVE-2026-58882, а сбой вызывает неверная проверка длины заголовка в функции WapPushOverSms.decodeWapPdu, из-за чего завершается процесс com.android.phone.

После сбоя процесс перезапускается, но, по словам исследователя, около 20 таких сообщений способны зациклить сбои и фактически вывести устройство из строя (в изложении 3DNews — даже одно сообщение). Оператор связи может заново пытаться доставить необработанное SMS, поэтому неполадка иногда сохраняется и после перезагрузки или сброса. По данным 3DNews, сохранённые в памяти сообщения можно удалить вручную через Android Debug Bridge, но это под силу лишь технически подготовленным пользователям.

Исследователь воспроизвёл проблему на Google Pixel и Samsung Galaxy с Android версий 12–16 и опубликовал демонстрационный эксплойт, который отправляет такие сообщения с другого Android-устройства. Исправление Google подготовила ещё летом. Смартфоны на Android 12 и 13, для которых обновления безопасности уже не выходят, могут остаться уязвимыми.