01.09.2026
1 хв
257
У смартфонах на Android виявили критичну вразливість, яка дозволяє дистанційно переривати телефонні розмови, зокрема дзвінки до екстрених служб, за допомогою невидимого SMS. Для атаки не потрібно відкривати повідомлення чи натискати на посилання, а серія таких SMS може загнати пристрій у нескінченне перезавантаження.
Проблему виявив фахівець із кібербезпеки Марк Блащик (Mark Blaszczyk), відомий під псевдонімом @sourone. У технічному звіті SMS of Death він описав помилку в системному компоненті Android, який відповідає за обробку телефонних викликів. Вразливість отримала ідентифікатор CVE-2026-58882 та зачіпає пристрої на Android 12–16. Дослідник також опублікував робочий експлойт, який демонструє можливість такої атаки.
Для атаки використовується WAP Push, застарілий механізм передавання службових повідомлень через мобільну мережу. Оператори застосовують його, зокрема, для налаштування пристроїв або надсилання команд, пов’язаних з отриманням MMS. Такі повідомлення обробляються автоматично й не потребують жодних дій користувача. Саме ця особливість дозволяє провести атаку непомітно: зловмиснику достатньо надіслати спеціально сформоване WAP Push SMS, яке містить лише вісім байтів даних. Повідомлення не з’являється у звичайній папці SMS, а власник смартфона навіть не бачить номера відправника.
Під час обробки такого повідомлення Android неправильно перетворює числове значення довжини заголовка. П’ять байтів містять число 2 147 483 648, яке спочатку зчитується у форматі long, але потім без перевірки діапазону перетворюється на 32-бітне ціле число int. У результаті переповнення значення стає від’ємним: -2 147 483 648. Система намагається використати його як довжину масиву даних, що спричиняє критичну помилку та аварійне завершення процесу com.android.phone.
Цей компонент відповідає за роботу телефонного зв’язку, тому його збій миттєво обриває активний виклик, навіть якщо людина в цей момент розмовляє з екстреними службами. При цьому користувач не отримує жодного попередження про атаку. Як пояснив сам дослідник:
«Жертва нічого не робить. Жодного натискання, відкриття чи сповіщення».
Після отримання шкідливого SMS процес com.android.phone аварійно завершується, а зв’язок зникає приблизно на одну-дві секунди. Згодом система автоматично перезапускає компонент, проте на цьому проблема може не закінчитися. Оскільки смартфон не встигає підтвердити отримання повідомлення, оператор може надіслати його повторно. Android знову намагається обробити ті самі дані, після чого процес телефонного зв’язку вкотре завершується з помилкою.
Ще гірша ситуація виникає, якщо зловмисник надсилає одразу кілька таких SMS. За словами дослідника, приблизно 20 повідомлень можуть спричинити тривалу відмову в обслуговуванні, фактично зробивши смартфон непридатним для використання. Проблемні повідомлення залишаються в черзі вхідних SMS, тому після кожного перезавантаження пристрій повторно намагається їх обробити. Зрештою Android активує вбудований механізм відновлення RescueParty, який приблизно через 90 секунд переводить смартфон у режим відновлення.
Звичайний користувач у такій ситуації може вирішити, що єдиним виходом залишається скидання пристрою до заводських налаштувань. Це дозволяє відновити його роботу, але призводить до видалення локальних даних. Водночас існує спосіб обійтися без повного скидання: необхідно підключити смартфон до комп’ютера через Android Debug Bridge (ADB) та видалити проблемні повідомлення із системної черги. Однак процедуру потрібно виконати протягом короткого проміжку після завантаження Android, тому для більшості користувачів вона буде складною.
Марк Блащик випробував експлойт на Google Pixel 9 із прошивкою за квітень 2026 року, а також на кількох смартфонах Samsung Galaxy, зокрема моделях серії Galaxy A. За його словами, під час тестування вдалося досягти 100% відтворюваності помилки. Це означає, що в усіх проведених перевірках спеціально сформоване повідомлення спричиняло очікуваний збій.
Вразливість особливо небезпечна тим, що зловмиснику не потрібен фізичний доступ до пристрою. Атака проводиться дистанційно, без встановлення додаткового програмного забезпечення на телефон жертви. Наслідки можуть виходити далеко за межі звичайного збою смартфона: якщо повідомлення надходить під час виклику екстреної служби, розмова переривається, а поки пристрій перебуває в циклі перезавантажень, користувач не може надійно скористатися мобільним зв’язком.
Дослідник назвав опублікований proof-of-concept фактично готовим інструментом для деструктивної віддаленої атаки типу Denial of Service (DoS). Водночас він наголосив, що код призначений виключно для досліджень безпеки, навчання та санкціонованого тестування.
«Використання його проти будь-кого іншого є злочином, а перешкоджання можливості людини звернутися до екстрених служб (000) є серйозним кримінальним правопорушенням в Австралії та більшості країн».
Про проблему дослідник повідомив Google ще 5 травня 2026 року. Уже 15 червня інженери компанії підготували виправлення, яке згодом додали до Android Open Source Project (AOSP). Патч змінив обробку помилок під час декодування WAP Push SMS: тепер система може перехопити виняток, через який раніше завершувався процес com.android.phone, а також видалити проблемне повідомлення, щоб воно не спричиняло повторних збоїв після перезавантаження.
Виправлення увійшло до жовтневого оновлення безпеки Android 2026 року для версій Android 14–17. Однак це не означає, що всі пристрої вже захищені, адже виробники мають самостійно доставити відповідні патчі на свої смартфони. Особливо складна ситуація з Android 12 і 13, які також містять вразливий код, але частина пристроїв уже не отримує регулярних оновлень безпеки. Тому деякі телефони можуть так і залишитися без виправлення.
Розробники GrapheneOS також повідомили про включення інформації щодо цієї помилки до листопадового бюлетеня безпеки. Користувачам Android рекомендують перевірити дату останнього оновлення та встановити доступні патчі. Для пристроїв, що отримують відповідні виправлення, захист від CVE-2026-58882 передбачений починаючи з жовтневого рівня оновлень 2026 року.
