Для Android опубликован zero-click DoS: вредоносное SMS обрывает звонки и может вызвать перезагрузки

Исследователь безопасности Марк Б. раскрыл уязвимость CVE-2026-58882 и опубликовал работающий прототип атаки. Специально сформированное WAP Push SMS без участия пользователя аварийно завершает телефонный процесс Android, нарушая сотовую связь и обрывая текущие звонки.

Исследователь безопасности Марк Б. описал уязвимость CVE-2026-58882, неофициально названную SMS of Death. Для атаки достаточно отправить на номер жертвы специально сформированное WAP Push SMS — служебное сообщение обрабатывается автоматически и не появляется в папке входящих.

Ошибка находится в функции WapPushOverSms.decodeWapPdu(): значение длины заголовка преобразуется в знаковое 32-битное число без проверки диапазона. Отрицательный размер массива вызывает исключение NegativeArraySizeException и завершает процесс com.android.phone, отвечающий за функции сотовой связи. В результате пропадает подключение к мобильной сети и обрываются активные звонки, включая вызовы экстренных служб.

Повторная доставка сообщения оператором или обработка сохранённых сообщений может снова вызвать сбой. По данным исследователя, серия вредоносных сообщений способна привести устройство к циклическим перезагрузкам; для восстановления может потребоваться удаление сообщений через Android Debug Bridge (ADB).

Google опубликовала в репозитории AOSP изменение для защиты от удалённого DoS: система перехватывает исключение и удаляет вызвавшее его сообщение. Автор исследования утверждает, что исправление вошло в октябрьские обновления 2026 года для Android 14–17, тогда как Android 12 и 13 остались без него. При этом CVE-2026-58882 отсутствует в официальном октябрьском бюллетене Android, поэтому наличие исправления в конкретной прошивке следует уточнять у производителя устройства.