Исследователь сообщил об уязвимости Android, вызывающей сбой через SMS
Специально сформированное WAP Push-сообщение может нарушить работу сотовой связи и оборвать звонок. Повторная доставка того же сообщения может вызывать новые сбои; в тестировании около 20 вредоносных сообщений оказалось достаточно для цикла перезагрузки. Для атаки не требуется действий со стороны получателя.
Исследователь безопасности Марк Блащикович сообщил об уязвимости Android CVE-2026-58882, которую можно использовать для удалённого сбоя смартфона с помощью специально сформированного сообщения. По его данным, проблема воспроизводится на устройствах Google Pixel и Samsung Galaxy.
Атака использует WAP Push — тип сообщений, который операционная система обрабатывает без показа в обычном списке SMS. Некорректно сформированное сообщение вызывает ошибку в компоненте Android, отвечающем за сотовую связь. В результате устройство может потерять подключение к сети и оборвать текущий звонок, включая вызов экстренных служб.
Если оператор пытается доставить то же сообщение повторно, сбои могут происходить снова. В ходе тестирования Блащиковича около 20 вредоносных сообщений оказалось достаточно, чтобы перевести смартфон в цикл перезагрузки, сообщает Digital Trends. Уязвимость относится к отказу в обслуживании: в источнике нет данных о возможности с её помощью похищать пароли или другую личную информацию.
Исследователь уведомил Google о проблеме в мае, а 29 октября опубликовал описание и демонстрацию атаки. По его словам, исправление вошло в октябрьские обновления безопасности 2026 года для Android 14–17, хотя в октябрьском бюллетене Google эта уязвимость не упоминалась. Android 12 и 13, как утверждает исследователь, исправления не получили.
Пользователям стоит проверить уровень патча безопасности и установить последнее доступное обновление Android. Подтверждённых сведений о массовом использовании этой уязвимости в атаках пока нет.